贡献一份精心整理的RBAC规范接口及其解说

该命令创建一个新用户。当要待创建用户尚不存在于Account集合（Account表）中时，该命令可用。命令执行后，Account集合（Account表）被更新，新创建的用户不拥有任何的会话。

该命令从RBAC数据库中删除一个已经存在的用户。该命令可用当且仅当被删除的用户是Account数据集（Account表）

的一个成员（记录）。Accounts数据集（Account表）将被更新、PrivilegeBigram数据集（PrivilegeBigram表）将被更新，

PrivilegeBigram集合中主体为当前被删除的账户的成员将被删除。如果一个正处在会话中的用户被删除，anycmd

的实现会等待该会话结束后删除，但账户管理员是可以看到被删除的账户是否正在会话的且有权的管理员是可以强行终止给定的账户的会话的。

该命令创建一个新的角色。该命令可用当且仅当要创建的角色尚且不存在于RoleSet数据集中。RoleSet数据集

将被更新。初始时，新创建的角色没有分配任何用户和权限。

该命令从RBAC数uk中删除一个角色。该命令可用当且仅当被删除的角色是RoleSet数据集的成员。如果被删除的角色在某些会话中尚且是激活的，则Anycmd会从会话中删除这个角色然后允许会话继续执行。

该命令给用户分配角色。该命令可用当且仅当该用户是Account数据集（Account表）的成员（记录），该角色是RoleSet

数据集的成员，并且该角色尚未分配给该用户。数据集（表）PrivilegeBigram将被更新。

1 该用户是Account数据集（表）的成员（记录）；2 该角色是RoleSet数据集的成员；3 该用户还没有被分配该角色；4 所有SSD约束在执行完命令后仍然被满足。

该命令删除一个角色role到用户account的分配。该命令可用当且仅当account是Account数据集的成员，role

是RoleSet数据集的成员，并且角色role已经分配给了用户account。

该命令给一个角色分配对一个对象执行某个操作的权限。该命令可用当且仅当给定的（操作，对象）代表了

一项权限并且该角色是RoleSet数据集的成员。

该命令从分配给角色的权限集中撤销对某个对象执行某个操作的权限。该命令可用当且仅当（操作、对象）代表一项权限，并且该权限已经分配给了该角色。

(

Guid sessionID, AccountState worker,List<PrivilegeBigramState> privileges

);

该函数创建一个新的会话，以指定的用户作为会话拥有者，以指定的角色集作为激活角色集。该函数可用

当且仅当：

1 该用户是Account数据集（表）的成员（记录）；2 该会话的激活角色集是该用户分配的角色集的子集。3 该会话的激活角色集满足所有的DSD约束。

该函数删除一个会话。该函数可用当且仅当会话标识符是UserSession数据集（表）的成员（记录）。

该函数返回给定会话的激活角色。该函数可用当且仅当该会话标识符是UserSession数据集（表）的成员（记录）。

该函数返回给定会话的权限，即该会话的激活角色拥有的权限。该函数可用当且仅当会话标识符是

UserSession数据集（表）的成员（记录）。

(

Guid accountID, Guid roleID, Guid sessionID

)

该函数为给定的用户会话增加一个激活角色。该函数可用当且仅当：

1 该用户是Account数据集（表）的成员（记录）；2 该角色是RoleSet数据集的成员；3 会话标识符是UserSession数据集（表）的成员（记录）；4 该角色已经分配给了该用户；5 该用户拥有该会话；6 在给该会话增加新的激活角色后，所有的DSD约束都被满足。

该函数从给定用户会话中删除一个激活角色。该函数可用当且仅当该用户是Account数据集（表）的成员（记录），

会话标识是UserSession数据集（表）的成员（记录），该用户是该会话的拥有者并且该角色是该会话的一个激活角色。

(

Guid sessionID, Guid functionID, IManagedObject obj

);

该函数决定一个给定的会话的主体是否允许对给定的对象执行某个给定的操作并返回一个布尔值。该函数可用当且仅当

会话标识符是UserSession数据集（表）的成员（记录），该对象是它对应类型的对象的数据集的成员，该操作是FunctionSet

数据集的成员。会话的主体可以对该对象执行该操作当且仅当会话的某个激活角色拥有对应的权限。

该函数返回被分配给了某个指定角色的用户。该函数可用当且仅当该角色是RoleSet数据集的成员。

该函数返回分配给了一个给定用户的角色。该函数可用当且仅当该用户是Account数据集（表）的成员（记录）。

该函数返回拥有给定角色的授权用户。该函数可用当且仅当给定角色是RoleSet的成员。

该函数返回给定用户的授权角色。该函数可用当且仅当该用户是Account数据集（表）的成员（记录）。

该函数返回分配给一个给定角色的权限。该函数可用当且仅当该角色是RoleSet数据集的成员。

该函数返回一个给定用户的权限。该函数可用当且仅当该用户是Account数据集（表）的成员（记录）。

RoleOperationsOnObject

(Guid roleID, IManagedObject obj)

该函数返回一个给定角色被允许的对给定对象执行的操作。该函数可用当且仅当该角色是RoleSet数据集的成员，该对象是obj对应类型数据集的成员。

UserOperationsOnObject

(Guid accountID, IManagedObject obj)

该函数返回给定用户被允许的针对给定角色执行的操作。该函数可用当且仅当该用户是Account数据集（表）的成员（记录），该对象是obj对应类型数据集的成员。

(

Guid subjectRoleID, Guid objectRoleID

)

该命令在两个已经存在的角色r_asc/客体和r_desc/主体之间建立直接继承关系。r_asc>>r_desc。该命令可用当且仅当：

1 r_asc/客体和r_desc/主体都是RoleSet数据集的成员；2 r_asc/客体不是r_desc/主体的直接祖先，3 r_desc/主体不继承r_asc/客体（不免产生回路）。4 SSD约束在该命令执行后扔是满足的。

(

Guid subjectRoleID, Guid objectRoleID

)

该命令删除已经存在的直接继承关系r_asc>>r_desc。该命令可用当且仅当r_asc/客体和r_desc/主体都是RoleSet数据集的成员，r_asc/客体是r_desc/主体的直接祖先。在执行完该命令以后，新的继承关系是新的直接继承关系的自反传递包。

(

Guid childRoleID, IRoleCreateInput parentRoleCreateInput

)

该命令创建一个新角色r_asc/客体/父角色，并作为现存角色r_desc/主体/子角色 的直接祖先插入到角色层次中去。该命令可用当且仅当r_asc/客体/父角色 不是RoleSet数据集的成员，r_desc/子角色 是RoleSet数据集的成员。

(

Guid parentRoleID, IRoleCreateInput childRoleCreateInput

)

该命令创建一个新的角色作为现存角色 r_asc/客体/父角色 的直接后代插入到角色层次中。该命令可用当且仅当r_desc/主体不是RoleSet数据集的成员，r_asc/客体/父角色 是RoleSet数据集的成员。

该命令创建一个命名的SSD角色集合，并设定相应的阀值。该命令可用当且仅当：

1 SSD角色集的标识和名称还没有被使用；2 SSD角色集中的角色都是RoleSet数据集的成员；3 SSDCard是一个大于或等于2的自然数，同事还要小于或等于SSD角色集的基数（基数：有限集的元素个数）；4 新的SSD角色集的约束当前是被满足的。

该命令删除一个SSD角色集。该命令可用当且仅当该SSD角色集存在。

该命令为SSD角色集增加一个角色，该SSD角色集关联的阀值不发生改变。该命令可用当且仅当：

1 该SSD角色集存在；2 该角色是RoleSet数据集的成员，并且尚不属于该SSD角色集；3 该命令执行之后，SSD约束仍然是满足的。

该命令从SSD角色集中删除一个角色，其关联的阀值不发生改变。该命令有效当且仅当：

1 SSD角色集已经存在；2 要删除的角色是该SSD角色集的成员；3 该SSD角色集关联的阀值小于该角色集的成员数。

<remarks>

注意：修改后的SSD约束当前应该是被满足的。

该命令设定与给定的SSD角色集关联的阀值。该命令可用当且仅当：

1 该SSD角色集存在；2 新的阀值是一个大于或等于2的自然数，它要小于或等于SSD角色集的基（基：有限集元素的个数）；3 新的SSD约束当前应该是被满足的。

该函数返回所有的SSD角色集。

该函数返回与一个指定SSD角色集合相关联的角色的集合

该函数返回与给定SSD角色集关联的阀值。该函数可用当且仅当该角色集存在。

创建一个动态责任分离角色集并设定相应的阀值。该DSD约束要求DSD角色集中任何【阀值】个或者更多角色不能都在某个用户会话过程中被激活。

该命令可用当且仅当：

1 DSD角色集的标识和名称还没有被使用；2 DSD角色集中的角色都是RoleSet数据集的成员；3 SSDCard是一个大于或等于2的自然数；4 新的DSD角色集的约束当前是被满足的。

该命令删除一个DSD角色集。该命令可用当且仅当该DSD角色集存在。

该命令为一个给定的DSD角色集增加一个角色，DSD角色集关联的阀值不发生改变。该命令有效当且仅当：

1 该DSD角色集存在；2 该角色是RoleSet数据集的成员，并且尚不属于该DSD角色集；3 该命令执行成功之后，DSD约束仍然是满足的。SSDCard要小于或等于DSD角色集的基（基：有限集元素的个数）

该命令从DSD角色集中删除一个角色，其关联的阀值不发生改变。该命令有效当且仅当：

1 DSD角色集已经存在；2 要删除的角色是该DSD角色集的成员；3 该DSD角色集关联的阀值小于该角色集的成员数。

注意：修改后的DSD约束当前应该是被满足的。

该命令设定与给定的DSD角色集关联的阀值。该命令可用当且仅当：

1 该DSD角色集存在；2 新的阀值是一个大于或等于2的自然数，它要小于或等于DSD角色集的基（基：有限集元素的个数）；3 新的DSD约束当前应该是被满足的。

该函数返回所有的DSD角色集。

该函数返回给定的DSD角色集中的角色。该函数可用当且仅当该角色集存在。

该函数返回与给定DSD角色集关联的阀值。该函数可用当且仅当该角色集存在。