Topic 权限模型

比眉伴天荒 2022-12-09 02:00 109阅读 0赞

### 一、权限模型分类 ###

**1 MAC(Mandatory Access Control)：**

起初由政府和军方设计并使用， 它有非常严格的访问控制模型。  
在MAC中， 所有的权限由管理员预定义， 并且由操作系统控制。  
MAC实现了数据的权限分类（如重要的等级或安全的等级）和用户的权限分类(部门， 项目等)， 这样在验证的时候就可以对比用户和数据的权限等级对应关系， 从而知道是否有访问权限。  
很少会有只使用MAC的， 一般情况下会和其他的方法混合使用， 比如UNIX的文件系统使用了DAC， 但是root账号可以绕过这个访问控制模型不受限制。  
**2 DAC(Discretionary Access Control)**

和所有数据和权限被操作系统控制不一样，这个允许用户控制自己的数据的访问权限。  
根据用户的身份以及它们所属的分组来限制对对象的访问权限。  
用户可以通过ACL定义什么人或什么等级的人可以访问什么资源， 每一个ACL都包含一个用户和组的列表， 以及它们的访问权限。通常情况下， 系统管理员设置一系列常用的访问控制权限。  
这里关键的是用户只能定义它们自己拥有的资源的访问权限。  
3 ACL(Acess Control List)

**4 RBAC(Role-Based Access Control)** 基于RBAC模型的权限验证框架与应用 Apache Shiro、spring Security、SELinux

RBAC通常被公司使用， 基于用户的职位给予访问权限。 这里权限被分配到公司里定义的角色上面。  
RBAC中用户被分配一个角色， 而它只能拥有角色里包含的权限， 没有可以绕过的方法。  
RBAC通过role分离了工作职责。

**5 RBAC(Rule-Based Access Control)**

权限的分配依据管理员预定义的规则。 每一个对象都有它自己的ACL(access control list)， 操作系统检查用户是否拥有这个权限。  
**6 ABAC(Attribute-Based Access Control)**

这个模型根据特殊的规则来分配权限， 这些规则组合了用户(users)， 资源(resource)和对象(objects)的属性。  
处理的逻辑是根据这个role和action的属性来判断， 不同的属性应该满足不同的要求。

7 PBAC(Policy-Based Access Control)

### 二、RBAC(Role-Based Access Control) 介绍 ###

RBAC即角色访问控制(Role Based Access Control)  
  
RBAC认为权限授权实际上是Who、What、How的问题。在RBAC模型中，who、what、how构成了访问权限三元组,也就是“Who对What(Which)进行How的操作”。  
Who：权限的拥用者或主体（如Principal、User、Group、Role、Actor等等）  
What：权限针对的对象或资源（Resource、Class）。  
How：具体的权限（Privilege,正向授权与负向授权）。  
  
基于角色的访问控制方法（RBAC）的显著的两大特征是：1.由于角色/权限之间的变化比角色/用户关系之间的变化相对要慢得多，减小了授权管理的复杂性，降低管理开销。2.灵活地支持企业的安全策略，并对企业的变化有很大的伸缩性。

**1** **RBAC** **介绍**

RBAC 模型作为目前最为广泛接受的权限模型。

RBAC0 RBAC1 RBAC2 RBAC3

NIST （The National Institute of Standards and Technology，美国国家标准与技术研究院）标准RBAC模型由4个部件模型组成，这4个部件模型分别是基本模型RBAC0（Core RBAC）、角色分级模型RBAC1（Hierarchal RBAC）、角色限制模型RBAC2（Constraint RBAC）和统一模型RBAC3（Combines RBAC）\[1\]。RBAC0模型如图1所示。

![RBAC 0模型.JPG][RBAC 0_.JPG]  
图表 1 RBAC 0 模型

l **RBAC0** **定义了能构成一个RBAC控制系统的最小的元素集合**

在RBAC之中,包含用户users(USERS)、角色roles(ROLES)、目标objects(OBS)、操作operations(OPS)、许可权permissions(PRMS)五个基本数据元素，权限被赋予角色,而不是用户，当一个角色被指定给一个用户时，此用户就拥有了该角色所包含的权限。会话sessions是用户与激活的角色集合之间的映射。RBAC0与传统访问控制的差别在于增加一层间接性带来了灵活性，RBAC1、RBAC2、RBAC3都是先后在RBAC0上的扩展。

l **RBAC1** **引入角色间的继承关系**

角色间的继承关系可分为一般继承关系和受限继承关系。一般继承关系仅要求角色继承关系是一个绝对偏序关系，允许角色间的多继承。而受限继承关系则进一步要求角色继承关系是一个树结构。

l **RBAC2** **模型中添加了责任分离关系**

RBAC2 的约束规定了权限被赋予角色时,或角色被赋予用户时,以及当用户在某一时刻激活一个角色时所应遵循的强制性规则。责任分离包括静态责任分离和动态责任分离。约束与用户-角色-权限关系一起决定了RBAC2模型中用户的访问许可。

l **RBAC3** **包含了RBAC1和RBAC2**

既提供了角色间的继承关系，又提供了责任分离关系。

建立角色定义表。定出当前系统中角色。

因为有继承的问题，所以角色体现出的是一个树形结构。

### 三、参考 ###

The NIST Model for Role-Based Access Control: Towards A Unified Standard (paper) [https://www.profsandhu.com/confrnc/rbac/rbac-nist(org).pdf][https_www.profsandhu.com_confrnc_rbac_rbac-nist_org_.pdf]

RBAC几种常见的控制权限模型 https://www.cnblogs.com/yangzailu/p/9760692.html  
权限系统与RBAC模型概述\[绝对经典\] https://www.cnblogs.com/jpfss/p/11210694.html  
常见的权限访问控制模型 https://www.cnblogs.com/helloz/p/11234101.html

Role-based access control https://en.wikipedia.org/wiki/Role-based\_access\_control  
NIST RBAC model https://en.wikipedia.org/wiki/NIST\_RBAC\_model  
(1) Rationale for the RBAC96 Family of Access Control Models https://www.profsandhu.com/confrnc/rbac/ratio(org).pdf  
Overview of Four Main Access Control Models https://www.utilizewindows.com/overview-of-four-main-access-control-models/  
RBAC即角色访问控制(Role Based Access Control) https://blog.csdn.net/huanghanzzz2006/article/details/1429678  
权限分析文档 http://www.blogjava.net/anwenhao/archive/2006/11/21/82535.html?spm=a2c6h.12873639.0.0.1d385621kqY3tK  
基于PBAC的统一权限管理平台设计与实现 http://www.ict.edu.cn/ebooks/b1/text/n20200601\_21712.shtml

实现Demo:  
RBAC（Role-Based Access Control ）基于角色的访问控制（TP3.23） https://blog.csdn.net/Phplayers/article/details/76579557  
基于角色的权限控制系统（role-based access control）https://www.cnblogs.com/silence-cho/p/9781237.html  
权限系统与RBAC模型概述\[绝对经典\] https://www.cnblogs.com/jpfss/p/11210694.html  
权限分析文档 http://www.blogjava.net/anwenhao/archive/2006/11/21/82535.html?spm=a2c6h.12873639.0.0.1d385621kqY3tK

RBAC权限管理模型 https://www.xiaoman.cn/detail/150

[RBAC 0_.JPG]: /images/20221123/d7194b2761074356b33232ad0f44dc76.png
[https_www.profsandhu.com_confrnc_rbac_rbac-nist_org_.pdf]: https://www.profsandhu.com/confrnc/rbac/rbac-nist%28org%29.pdf