权限管理是一个几乎所有后台系统的都会涉及的一个重要组成部分，主要目的是对整个后台管理系统进行权限的控制，也是ERP上线后系统管理的一个重要内容,其包括用户管理、角色维护与授权、角色参数维护等等。系统上线后能安全、高效运行的前提是权限运维必须规范，即用户管理规范、授权管理清晰，最终用户的权限设置必须符合内控部制规范。否则，将产生直接负面影响，轻者业务员无法正常开展业务，重者会导致ERP管理混乱，业务停止，信息数据泄密，从而给企业和公司带来损失。可以说，规范的系统权限管理和有力的管控是保证系统安全运行和数据保密的必要手段。因此，构建高效的权限管控体系和规范的授权业务流程是保证系统安全、高效和数据保密的重中之重.

目前在权限管理的访问控制方面有三种主要的模型，他们分别是强制访问控制模型、自主访问控制模型以及基于角色的访问控制模型。前面两种访问控制模型要比基于角色的访问控制模型产生的早一些，他们的策略基本相同，都是将主体、客体紧密的绑定在一起，在进行授权的时候，需要对每队待处理的主体和客体一对一的制定权限许可。这种模式的缺点就是，如果主、客体的数量比较多的情况下，授权管理工作将会非常的复杂、低效。

而基于角色的访问控制（RBAC）模型的核心思想是：在用户和全线之间新增了一个角色属性，访问权限不是和用户之间联系，而是与角色关联起来。在这种模型中，在需要给用户授权的时候，首先需要建立不同的角色，针对角色进行授权，然后把角色授予给用户，用户所拥有的所有的角色的权限集合，就是该用户能使用的权限集合。如果需要对用户权限进行调整，有两种实现方式，一种是调整该用户的角色，另一种方式是调整该用户的角色所拥有的权限。这使得基于角色访问控制（RBAC）策略的管理和访问方式，在易操作性、复用性和灵活性方面有了很大的提升。基于角色的访问控制（RBAC）通过这种方式有效地弥补了强制访问控制模型和自主访问控制模型的不足。

国外研究现状：基于角色的访问控制模型（RBAC）是从访问控制模型基础上研究创新的。第一个RBAC模型于上世纪九十年代由DavidFerraiolo和Rick Kuhn提出。它在形式上描述了基于角色的访问控制模型，在原有的用户和权限基础上，新增加了一个角色模型，角色直接和权限绑定，用户通过角色渐渐的获得角色所拥有的权限，这样就极大的简化了对用户权限的管理。

上世纪九十年代中期，GorgeMason大学的教授Ravi.Sandhu等在对RBAC模型的进一步研究后，又进一步发展了RBAC模型，并于1996年对RBAC的基本框架进行了完整的描述，制定了RBAC96模型，这对于RBAC模型来说是最具有里程碑意义的。

2004年初，美国国家信息技术标准委员会为RBAC模型制定了一套美国的国家标准，这个标准是由RBAC研究团体在NISTRBAC简易模型基础上制定的。为了能更容易的把RBAC模型集成到WEB应用上，技术委员会对RBAC的外延记性了扩展，通过XML语言来表达授权策略，2007年Park教授也提出了在WEB应用系统中如何方便的使用和集成RBAC模型。