随着计算机科学技术的日益发展和全球信息化进程的不断加快,云计算在人们生活中发挥了越来越重要的作用。云服务提供商通过虚拟化、分布式计算等技术将服务器、存储、网络、应用程序等资源集中起来,为广大企业和各类用户按需提供高效的、廉价的资源服务。但是,数据安全问题在云计算发展过程中不断暴露出来,频繁发生的数据泄露事件已成为制约其发展的主要原因。本文在对国内外关于云计算访问控制和数据加密技术相关研究的分析和总结基础上,以中小企业和广大用户广泛使用的客户关系管理CRM云服务作为实际应用背景,深入分析其在云计算多租户环境下面临的数据安全隐患以及企业实际的数据安全需求,针对CRM云服务的数据操作频繁、敏感数据集中等特点,从访问控制和数据加密保护角度提出了一个数据安全策略方案,并进行了实现与分析。方案包括两个方面。第一个方面是扩展CRM云服务中普遍采用的基于角色访问控制模型。扩展的访问控制模型CT-RBAC引入了客户端环境约束条件,并基于三权分立管理思想将系统管理权限分配给系统管理员、安全管理员和审查管理员,实现对管理员权限范围过大的有效控制。研究和设计了可以工作于云服务中的“审查信息生成工具”和审查流程,可以使审查管理员审查本租户范围的云端数据操作和访问情况,增强了云端数据使用状况的审查性和可追溯性。第二个方面是设计数据加密保护与共享方法。采用对称加密技术和基于身份的代理重加密算法,为CRM云服务使用者设计文件加密解密客户端工具和密钥管理服务,用于重要文件在云端的加密保护,并可以进行数据的群组范围授权共享。通过在云服务器中搭建采用了CT-RBAC模型的多租户CRM系统和密钥管理服务,对CT-RBAC模型的实际应用效果进行了验证和分析,并对数据加密与共享方法进行了实现,验证了数据安全策略方案增强数据安全的效果。