角色访问控制（RBAC）引入了Role的概念,目的是为了隔离User(即动作主体，Subject)与Privilege(权限，表示对Resource的一个操作，即Operation+Resource)。
Role作为一个用户(User)与权限(Privilege)的代理层，解耦了权限和用户的关系，所有的授权应该给予Role而不是直接给User或Group。Privilege是权限颗粒，由Operation和Resource组成，表示对Resource的一个Operation。例如，对于新闻的删除操作。Role-Privilege是many-to-many的关系，这就是权限的核心。
基于角色的访问控制方法（RBAC）的显著的两大特征是：1.由于角色/权限之间的变化比角色/用户关系之间的变化相对要慢得多，减小了授权管理的复杂性，降低管理开销。2.灵活地支持企业的安全策略，并对企业的变化有很大的伸缩性。
RBAC基本概念：
RBAC认为权限授权实际上是Who、What、How的问题。在RBAC模型中，who、what、how构成了访问权限三元组,也就是“Who对What(Which)进行How的操作”。
Who：权限的拥用者或主体（如Principal、User、Group、Role、Actor等等）
What：权限针对的对象或资源（Resource、Class）。
How：具体的权限（Privilege,正向授权与负向授权）。
Operator：操作。表明对What的How操作。也就是Privilege+Resource
Role：角色，一定数量的权限的集合。权限分配的单位与载体,目的是隔离User与Privilege的逻辑关系.
Group：用户组，权限分配的单位与载体。权限不考虑分配给特定的用户而给组。组可以包括组(以实现权限的继承)，也可以包含用户，组内用户继承组的权限。User与Group是多对多的关系。Group可以层次化，以满足不同层级权限控制的要求。
RBAC的关注点在于Role和User, Permission的关系。称为User assignment(UA)和Permission assignment(PA).关系的左右两边都是Many-to-Many关系。就是user可以有多个role，role可以包括多个user。
凡是用过RDBMS都知道，n:m 的关系需要一个中间表来保存两个表的关系。这UA和PA就相当于中间表。事实上，整个RBAC都是基于关系模型。
Session在RBAC中是比较隐晦的一个元素。标准上说：每个Session是一个映射，一个用户到多个role的映射。当一个用户激活他所有角色的一个子集的时候，建立一个session。每个Session和单个的user关联，并且每个User可以关联到一或多个Session.
在RBAC系统中，User实际上是在扮演角色(Role)，可以用Actor来取代User，这个想法来自于Business Modeling With UML一书Actor-Role模式。考虑到多人可以有相同权限，RBAC引入了Group的概念。Group同样也看作是Actor。而User的概念就具象到一个人。
这里的Group和GBAC（Group-Based Access Control）中的Group（组）不同。GBAC多用于操作系统中。其中的Group直接和权限相关联，实际上RBAC也借鉴了一些GBAC的概念。
Group和User都和组织机构有关，但不是组织机构。二者在概念上是不同的。组织机构是物理存在的公司结构的抽象模型，包括部门，人，职位等等，而权限模型是对抽象概念描述。组织结构一般用Martin fowler的Party或责任模式来建模。
Party模式中的Person和User的关系，是每个Person可以对应到一个User，但可能不是所有的User都有对应的Person。Party中的部门Department或组织Organization，都可以对应到Group。反之Group未必对应一个实际的机构。例如，可以有副经理这个Group，这是多人有相同职责。
引入Group这个概念，除了用来解决多人相同角色问题外，还用以解决组织机构的另一种授权问题：例如，A部门的新闻我希望所有的A部门的人都能看。有了这样一个A部门对应的Group，就可直接授权给这个Group。
Role作为一个用户(User)与权限(Privilege)的代理层，解耦了权限和用户的关系，所有的授权应该给予Role而不是直接给User或Group。Privilege是权限颗粒，由Operation和Resource组成，表示对Resource的一个Operation。例如，对于新闻的删除操作。Role-Privilege是many-to-many的关系，这就是权限的核心。
基于角色的访问控制方法（RBAC）的显著的两大特征是：1.由于角色/权限之间的变化比角色/用户关系之间的变化相对要慢得多，减小了授权管理的复杂性，降低管理开销。2.灵活地支持企业的安全策略，并对企业的变化有很大的伸缩性。
分享到：
相关推荐
基于角色的访问控制技术（Role-Based Access Control, RBAC）是一种有效的权限管理机制，它旨在规范用户对系统资源的访问，防止未经授权的访问和潜在的安全威胁。与传统的自主访问控制（DAC）和强制访问控制（MAC）...
**基于角色的访问控制模型（RBAC）** 访问控制是信息安全领域的重要组成部分，它涉及到对信息系统资源的访问权限管理和控制。传统的访问控制策略包括自主访问控制（DAC）和强制访问控制（MAC）。随着信息技术的发展...
### 基于角色的访问控制(RBAC)详尽解析 #### 一、引言 随着企业信息化程度的加深，信息安全成为企业管理中不可忽视的一部分。传统的访问控制机制已难以满足日益复杂的安全需求。在此背景下，基于角色的访问控制...
基于角色的访问控制（Role-Based Access Control，RBAC）是一种现代的访问控制策略，它将权限管理和用户身份相结合，提供了一种更为灵活且高效的管理方式。传统的访问控制模型，如自主访问控制（DAC）和强制访问控制...
角色访问控制（RBAC）引入了Role的概念,目的是为了隔离User(即动作主体，Subject)与Privilege(权限，表示对Resource的一个操作，即Operation+Resource)。 Role作为一个用户(User)与权限(Privilege)的代理层，解耦...
操作系统之安全算法：Access Control：基于角色的访问控制RBAC.docx
基于角色的访问控制（RBAC）原理讲解 基于角色的访问控制（RBAC）是一种广泛应用于信息系统中的访问控制机制。其基本思想是在用户和访问权限之间引入角色的概念，将用户和角色联系起来，通过对角色的授权来控制用户...
基于角色的访问控制（Role-Based Access Control，简称RBAC）是一种有效的访问控制机制，它将权限与角色关联，而非直接与用户绑定。这种机制在管理大量用户和复杂权限分配的环境中，表现出高效、安全和易维护的特点...
基于角色的访问控制（Role-Based Access Control，简称RBAC）是一种广泛应用于现代企业级系统权限管理的模型。这种模型的核心思想是将用户与权限的关系通过角色进行间接关联，用户通过扮演不同的角色来获取相应的...
基于角色访问控制(RBAC)的数据表：用户表，角色表，权限表，用户角色关联表，角色权限关联表
基于角色的访问控制（RBAC，Role-Based Access Control）是一种现代的权限管理机制，它将权限与用户分离，通过角色这一中间实体进行关联。在RBAC模型中，用户被赋予不同的角色，每个角色对应一组特定的权限。这种...
自主访问控制（DAC）与带有互斥角色约束的基于角色的访问控制（RBAC）演示程序，附带源码，采用C++编写。使用VS2008及以上的可以直接打开工程，否则可以使用g++等编译。程序使用命令行形式控制，输入help命令可以...
**RBAC（Role-Based Access Control）角色访问控制**是一种广泛应用于现代软件系统中的权限管理机制。在Java编程环境中实现RBAC系统，可以帮助开发者高效、安全地管理用户对系统的访问权限。这种模型基于三个核心...
### RBAC基于角色的访问控制 #### 一、引言 在网络安全领域，访问控制机制是确保信息系统安全性的重要组成部分。其中，**基于角色的访问控制（Role-Based Access Control，简称RBAC）**作为一种灵活且高效的访问...
角色访问控制（Role-Based Access Control，简称RBAC）是一种广泛应用于现代企业信息系统中的权限管理机制。它通过将权限与角色关联，而非直接与用户绑定，实现了更为高效且灵活的访问控制策略。RBAC模型通常包括三...
【基于角色的访问控制技术（RBAC）】 访问控制是信息安全领域的重要组成部分，它确保只有经过授权的用户才能访问特定的资源。基于角色的访问控制（Role-Based Access Control，RBAC）是一种有效的权限管理机制，它...
基于角色访问控制（RBAC）是一种在信息系统中广泛应用于用户权限管理的技术。RBAC技术最早出现在20世纪90年代，它的核心理念是将用户与权限之间的直接关联转变为通过角色的间接关联，这大大提高了权限管理的灵活性和...