深入理解 RABC

作者：俞凡

2022-12-10
上海
本文字数：3182 字
阅读完需：约 10 分钟

RBAC 是一种基于角色实现访问控制的权限管理机制，通过定义角色和权限、用户和角色、角色和角色之间的关系，实现多层次、细粒度、可复用的权限管理系统。原文: Role-based Access Control (RBAC) Model

Bernard Hermant@Unsplash

Avery Pennarun 写的"RBAC like it was meant to be非常值得一读。

在 web 或移动应用中，访问权限控制机制是保证系统安全的重要手段，其中最常见的就是基于角色的访问控制(RBAC, Role-based Access Control)。

基于角色的访问控制是传统访问控制(自主访问、强制访问)的一种有前途的替代方案。在 RBAC 模式下，权限与角色相关联，从而大大简化了对权限的管理。组织为了完成各种任务，从而创建了角色，用户根据职责和技能被分配到相应的角色，也可以从一个角色分配到另一个角色。新角色可以根据新需求和系统集成赋予新的权限，也可以从角色中撤回权限。可以建立角色-角色关系来包含更广泛的客观情况。

图片来源: https://www.dnsstuff.com/rbac-vs-abac-access-control

访问控制模型

什么是 RBAC?

图片来源: https://www.quora.com/What-does-the-role-based-access-control-model-mean-in-workforce-management

通过分配一组与角色关联的权限来提供高级访问
支持公认的安全原则: 最小特权原则、责任分离原则和数据抽象原则
最小权限原则(The principle of least privilege) — 限制与角色关联的权限的数量和大小
职责分离原则(The principle of separation of responsibilities) — 在完成重要任务的过程中，分配一个以上相互约束的角色
数据抽象原则(The principle of data abstraction) — 对不同用户的操作提供不同权限的清晰分离
不同类型用户可以根据其工作职能和职责获得不同类型的访问权限来履行其职责
低级操作人员(例如运维人员)只能查看本部门记录，高级操作人员(例如经理)可以查看和编辑本部门记录

概念

角色(Roles)

由许多标准定义，包括权限、职责、成本中心以及业务操作流程。
无法通过身份确定角色，权限与角色绑定。
角色是围绕访问管理组织的，无论是什么样的活动、身份、职能等，角色可能都不变。

权限(Permissions)

权限是一组资源的集合，用户需要批准权限才能使用一组资源对受保护对象执行操作。
操作功能模块(添加、删除、更新、编辑、查看、上传)，进入菜单，一键进入页面
在某些系统设计中，功能操作可以被视为文件、类别、菜单、页面元素、模块、数据、字段等。

User -> Role -> Permissions -> resources

RBAC 模型

NIST RBAC96 模型是由美国国家标准与技术研究院开发的标准化 RBAC 定义。

4 个基本概念模型:

图片来源: https://transang.me/pattern-oriented-software-architecture-access-control-pattern

RBACO — 核心 RBAC
RBAC1 — 层次 RBAC (RBAC0 + 角色层次结构)
RBAC2 — 约束 RBAC (RBAC0 + 约束)
RBAC3 — 组合 RBAC (RBAC1 + RBAC2)

RBAC 授权的过程可以抽象为:

谁(Who) — 权限的用户或角色
什么(What) — 资源
如何(How) — 具体的权限

RBAC0

3 个元素: 用户、角色和权限
设计基于"[多对多(many-to-many)](https://en.wikipedia.org/wiki/Many-to-many_(data_model "多对多(many-to-many "多对多(many-to-many)")"))"关系，即多个用户可以拥有相同的角色，一个用户可以拥有多个角色。