基于角色的权限访问控制初步

2018/05/11 21:19
阅读数 35

基于角色的权限访问控制(Role-Based Access Control)

角色访问控制(RBAC)引入了role的概念,目的是为了隔离user(即动作主体,subject)与privilege(权限,表示对resource的一个操作,即operation+resource)。role作为一个用户(user)与权限(privilege)的代理层,解耦了权限和用户的关系,所有的授权应该给予role而不是直接给user或 group。privilege是权限颗粒,由operation和resource组成,表示对resource的一个operation。role-privilege是many-to-many的关系,这就是权限的核心。

基于角色的访问控制方法(RBAC)的显著的两大特征是:
1. 由于角色-权限之间的变化比角色-用户关系之间的变化相对要慢得多,减小了授权管理的复杂性,降低管理开销。
2. 灵活地支持企业的安全策略,并对企业的变化有很大的伸缩性。

RBAC的基本概念:
RBAC认为权限授权实际上是who、what、how的问题。在RBAC模型中,who、what、how构成了访问权限三元组,也就是“who对what(which)进行how的操作”。

who:权限的拥用者或主体(如principal、user、group、role、actor等等)
what:权限针对的对象或资源(resource、class)。
how:具体的权限(privilege,正向授权与负向授权)。
operator:操作。表明对what的how操作。也就是privilege+resource
role:角色,一定数量的权限的集合。权限分配的单位与载体,目的是隔离user与privilege的逻辑关系。
group:用户组,权限分配的单位与载体。权限不考虑分配给特定的用户而给组。组可以包括组(以实现权限的继承),也可以包含用户,组内用户继承组的权限。user与group是多对多的关系。group可以层次化,以满足不同层级权限控制的要求。
RBAC的关注点在于role和user,permission的关系。称为user assignment(UA)和permission assignment(PA)。关系的左右两边都是many-to-many关系。就是user可以有多个role,role可以包括多个user。

以下内容感觉偏理论,不是很好理解,大致看一下就可以了。但是上面权限的RBAC最基本的模型还是要熟记和理解的。加了一个中间层就隔离的变化,真的是牛叉。现在看来这种模型似乎是理所当然的,但是对比这个模型和传统的权限控制模型可以说是很叼了。以后遇到类似的场景也可以通过加入中间层。
一、RBAC96模型


RBAC96模型家族,其中包括了RBAC0~RBAC3四个概念模型。它们之间的关系如下图:

RBAC0定义了能构成一个RBAC控制系统的最小的元素集合

在RBAC之中,包含用户users(USERS)、角色roles(ROLES)、目标objects(OBS)、操作operations(OPS)、许可权permissions(PRMS)五个基本数据元素,权限被赋予角色,而不是用户,当一个角色被指定给一个用户时,此用户就拥有了该角色所包含的权限。会话sessions是用户与激活的角色集合之间的映射。RBAC0与传统访问控制的差别在于增加一层间接性带来了灵活性,RBAC1、 RBAC2、RBAC3都是先后在RBAC0上的扩展。RBAC0模型如下图所示:


RBAC1 引入角色间的继承关系
角色间的继承关系可分为一般继承关系和受限继承关系。一般继承关系仅要求角色继承关系是一个绝对偏序关系,允许角色间的多继承。而受限继承关系则进一步要求角色继承关系是一个树结构。
RBAC2 模型中添加了责任分离关系
RBAC2 的约束规定了权限被赋予角色时,或角色被赋予用户时,以及当用户在某一时刻激活一个角色时所应遵循的强制性规则。责任分离包括静态责任分离和动态责任分离。约束与用户-角色-权限关系一起决定了RBAC2模型中用户的访问许可
RBAC3 包含了RBAC1和RBAC2
既提供了角色间的继承关系,又提供了责任分离关系。RBAC3模型如下图:

二、ARBAC97模型
ARBAC97模型是基于角色的角色管理模型,包括三个部分:
URA97:用户-角色管理模型,该组件涉及用户指派关系UA的管理,该关系把用户与角色管理在一起。对该关系的修改权由管理角色,这样,管理角色中的成员有权管理正规角色中的成员关系。
PRA97:权限-角色管理模型。该组件设计角色许可证的指派与撤销。从角色的观点来看,用户和许可权有类似的特点,它们都是由角色联系在一起的实在实体。
RRA97:角色-层次管理模型,为了便于对角色的管理,对角色又进行了分类。该组件设计3类角色,它们是:
1、能力(Abilitier)角色--仅以许可权和其它能力作为成员的角色
2、组(Groups)角色--仅以用户和其它组为成员的一类角色
3、UP-角色--表示用户与许可权的角色,这类角色对其成员没有限制,成员可以是用户、角色、许可权、能力、组或其它UP-角色

下面是我之前基于RBAC3设计的一个图:

 

展开阅读全文
打赏
0
0 收藏
分享
加载中
更多评论
打赏
0 评论
0 收藏
0
分享
返回顶部
顶部