访问控制技术是信息安全领域保护信息的重要手段之一。目前,访问控制研究的热点是基于角色的访问控制模型RBAC,RBAC模型通过角色将用户与权限进行分离。但是在实际操作中角色的定义会带来权限控制的不足,针对日益复杂的终端用户类型,以及复杂的安全管理策略,在传统的RBAC访问控制模型基础上,本文提出一种任务驱动的弱控制RBAC访问控制模型TW-RBAC。该模型通过企业管理中工作流系统对任务的调度,来驱动访问控制角色、权限的定义与管理,任务的状态变化成为了权限约束规则的主要因素,这种因素决定着用户的权限是否通过的时机。在职权分离环节,建立了“三权分立”的管理机制,对授权者、规则制定者、监控者进行了严格的分离,保证了权限管理的公正性,并且与企业管理机制更好的对接。另外在授权与权限认证环节,模型中采用了弱控制的思想,暂缓了权限通过规则验证的时间点,降低复杂的规则造成的授权困难,使得用户具有拥有更加灵活的获取权限的机会。最后将模型应用于面向制造业的ERP管理应用系统SANERP,经过实践表明,该模型提供了更清楚的模型使用接口,更加灵活的授权机制,增强了 RBAC模型的实用性,方便了权限管理工作,适合复杂系统与工作流环境下的访问控制建模。