权限管理访问控制模型
小课堂
分享人：王玉琛
1.背景介绍
2.知识剖析
3.常见问题
4.解决方案
5.编码实战
6.扩展思考
7.参考文献
8.更多讨论
1.背景介绍
访问控制的核心是授权策略。以授权策略来划分, 访问控制模型可分为: 传统的访问控制模型(DAC\MAC\ACL)、 基于角色的访问控制(RBAC) 模型、基于任务和工作流的访问控制(TBAC) 模型、基于任务和角色的访问控制(T-RBAC) 模型等。今天简单给大家介绍一下ACL，详细介绍RABC。
2.知识剖析
1.ACL
ACL是最早也是最基本的一种访问控制机制，它的原理非常简单：每一项资源，都配有一个列表，这个列表记录的就是哪些用户可以对这项资源执行CRUD中的那些操作。
当系统试图访问这项资源时，会首先检查这个列表中是否有关于当前用户的访问权限，从而确定当前用户可否执行相应的操作。总得来说，ACL是一种面向资源的访问控制模型，它的机制是围绕“资源”展开的。
由于ACL的简单性，使得它几乎不需要任何基础设施就可以完成访问控制。但同时它的缺点也是很明显的，由于需要维护大量的访问权限列表，ACL在性能上有明显的缺陷。
另外，对于拥有大量用户与众多资源的应用，管理访问控制列表本身就变成非常繁重的工作。
2.基于角色的访问控制RBAC
RBAC是把用户按角色进行归类，通过用户的角色来确定用户能否针对某项资源进行某项操作。
RBAC相对于ACL最大的优势就是它简化了用户与权限的管理，通过对用户进行分类，使得角色与权限关联起来，而用户与权限变成了间接关联。
RBAC模型使得访问控制，特别是对用户的授权管理变得非常简单和易于维护，因此有广泛的应用。
3.常见问题
1:什么是RBAC?
2:RBAC的模型有哪些？
3:RBAC的缺点？
4.解决方案
1:什么是RBAC?
RBAC 是基于角色的访问控制（Role-Based Access Control ）在 RBAC 中，权限与角色相关联，用户通过成为适当角色的成员而得到这些角色的权限。 这就极大地简化了权限的管理。这样管理都是层级相互依赖的，权限赋予给角色，而把角色又赋予用户，这样的权限设计很清楚，管理起来很方便。
RBAC 认为授权实际上是Who 、What 、How 三元组之间的关系，也就是Who 对What 进行How 的操作，也就是“主体”对“客体”的操作。 Who：权限的拥用者或主体（如Principal、User、Group、Role、Actor等等） What：是操作或对象（operation，object）。 How：具体的权限（Privilege,正向授权与负向授权）。 Operator：操作。表明对What的How操作。也就是Privilege+Resource Role：角色，一定数量的权限的集合。权限分配的单位与载体,目的是隔离User与Privilege的逻辑关系. Group：用户组，权限分配的单位与载体。权限不考虑分配给特定的用户而给组。组可以包括组(以实现权限的继承)，也可以包含用户，组内用户继承组的权限。User与Group是多对多的关系。Group可以层次化，以满足不同层级权限控制的要求。 RBAC的关注点在于Role和User, Permission的关系。称为User assignment(UA)和Permission assignment(PA).关系的左右两边都是Many-to-Many关系。就是user可以有多个role，role可以包括多个user。
2:RBAC的模型有哪些？
RBAC96是一个模型族，其中包括RBAC0~RBAC3四个概念性模型。
1、基本模型RBAC0定义了完全支持RBAC概念的任何系统的最低需求。
2、RBAC1和RBAC2两者都包含RBAC0，但各自都增加了独立的特点，它们被称为高级模型。
RBAC1中增加了角色分级的概念，一个角色可以从另一个角色继承许可权。
RBAC2中增加了一些限制，强调在RBAC的不同组件中在配置方面的一些限制。
3、RBAC3称为统一模型，它包含了RBAC1和RBAC2，利用传递性，也把RBAC0包括在内。这些模型构成了RBAC96模型族。
RBAC0，RBAC的核心。
RBAC1，基于角色的分层模型
RBAC2、是RBAC的约束模型。
RBAC3、就是RBAC1+RBAC2
3:RBAC的缺点？
但是它也有自身的缺点，那就是由于权限是以角色为载体分配的，如果某一角色下的个别用户需要进行特别的权限定制， 如同加入一些其他角色的小部分权限或去除当前角色的一些权限时，RBAC就无能为力了，因为RBAC对权限的分配是角色为单位的。 RBAC模型没有提供操作顺序控制机制。这一缺陷使得RBAC模型很难应用关于那些要求有严格操作次序的实体系统。 例如，在购物控制系统中要求系统对购买步骤的控制，在客户未付款之前不应让他把商品拿走。RBAC模型要求把这种控制机制放到模型
5.编码实战
6.扩展思考
RABC实际应用？
还有哪些访问控制模型？
7.参考文献
参考一：RABC权限设计
参考二：访问控制模型综述
8.更多讨论
......
鸣谢
感谢大家观看
BY : 王玉琛