（）是指系统对用户身份及其所属的预先定义的策略组限制具使用数据资源能力的手段