我感觉这篇文章描述的不错,也不知道是谁的作者,放到这里来了~~
角色访问控制(RBAC)引入了Role的概念,目的是为了隔离User(即动作主体,Subject)与Privilege(权限,表示对Resource的一个操作,即Operation+Resource)。
Role作为一个用户(User)与权限(Privilege)的代理层,解耦了权限和用户的关系,所有的授权应该给予Role而不是直接给User或Group。Privilege是权限颗粒,由Operation和Resource组成,表示对Resource的一个Operation。例如,对于新闻的删除操作。Role-Privilege是many-to-many的关系,这就是权限的核心。
基于角色的访问控制方法(RBAC)的显著的两大特征是:1.由于角色/权限之间的变化比角色/用户关系之间的变化相对要慢得多,减小了授权管理的复杂性,降低管理开销。2.灵活地支持企业的安全策略,并对企业的变化有很大的伸缩性。
RBAC基本概念:
RBAC认为权限授权实际上是Who、What、How的问题。在RBAC模型中,who、what、how构成了访问权限三元组,也就是“Who对What(Which)进行How的操作”。
Who:权限的拥用者或主体(如Principal、User、Group、Role、Actor等等)
What:权限针对的对象或资源(Resource、Class)。
How:具体的权限(Privilege,正向授权与负向授权)。
Operator:操作。表明对What的How操作。也就是Privilege+Resource
Role:角色,一定数量的权限的集合。权限分配的单位与载体,目的是隔离User与Privilege的逻辑关系.
Group:用户组,权限分配的单位与载体。权限不考虑分配给特定的用户而给组。组可以包括组(以实现权限的继承),也可以包含用户,组内用户继承组的权限。User与Group是多对多的关系。Group可以层次化,以满足不同层级权限控制的要求。
RBAC的关注点在于Role和User, Permission的关系。称为User assignment(UA)和Permission assignment(PA).关系的左右两边都是Many-to-Many关系。就是user可以有多个role,role可以包括多个user。
凡是用过RDBMS都知道,n:m 的关系需要一个中间表来保存两个表的关系。这UA和PA就相当于中间表。事实上,整个RBAC都是基于关系模型。
Session在RBAC中是比较隐晦的一个元素。标准上说:每个Session是一个映射,一个用户到多个role的映射。当一个用户激活他所有角色的一个子集的时候,建立一个session。每个Session和单个的user关联,并且每个User可以关联到一或多个Session.
在RBAC系统中,User实际上是在扮演角色(Role),可以用Actor来取代User,这个想法来自于Business Modeling With UML一书Actor-Role模式。考虑到多人可以有相同权限,RBAC引入了Group的概念。Group同样也看作是Actor。而User的概念就具象到一个人。
这里的Group和GBAC(Group-Based Access Control)中的Group(组)不同。GBAC多用于操作系统中。其中的Group直接和权限相关联,实际上RBAC也借鉴了一些GBAC的概念。
Group和User都和组织机构有关,但不是组织机构。二者在概念上是不同的。组织机构是物理存在的公司结构的抽象模型,包括部门,人,职位等等,而权限模型是对抽象概念描述。组织结构一般用Martin fowler的Party或责任模式来建模。
Party模式中的Person和User的关系,是每个Person可以对应到一个User,但可能不是所有的User都有对应的Person。Party中的部门Department或组织Organization,都可以对应到Group。反之Group未必对应一个实际的机构。例如,可以有副经理这个Group,这是多人有相同职责。
引入Group这个概念,除了用来解决多人相同角色问题外,还用以解决组织机构的另一种授权问题:例如,A部门的新闻我希望所有的A部门的人都能看。有了这样一个A部门对应的Group,就可直接授权给这个Group。
分享到:
相关推荐
RBAC96是一篇开创性论文,它介绍了角色基于访问控制(RBAC)的一系列参考模型。这些模型中权限与角色关联,而用户则成为适当角色的成员,这大大简化了权限管理的复杂性。 RBAC的概念最早起源于20世纪70年代的多用户...
本篇文章将深入探讨如何在Laravel 5.1中利用RBAC(Role-Based Access Control,基于角色的访问控制)来构建安全、灵活的权限管理系统。 1. **RBAC 简介** RBAC 是一种访问控制策略,它通过角色来定义用户可以访问...
本篇文章将详细探讨如何使用ThinkPHP 3.2实现RBAC(Role-Based Access Control,基于角色的访问控制)权限管理。 RBAC是一种权限分配模型,通过角色来定义用户的权限,而不是直接为每个用户分配权限。这种模式简化...
本篇文章将详细探讨如何在MySQL中设计一个基于RBAC的权限管理系统。 首先,我们需要理解RBAC的核心概念。在RBAC模型中,用户通过扮演不同的角色来获取相应的权限,而不是直接赋予用户具体的操作权限。这样可以简化...
在这篇教程中,首先提出了一个问题,为何在使用Yii2构建后台并实现RBAC权限控制的实例教程中没有涉及到rule表。确实,在很多情况下,直接使用角色和权限足以满足需求,但有时候我们需要更细粒度的控制。例如,需要...
本篇文章将围绕一个名为"Spring Cloud微服务化RBAC的管理平台"的项目,深入探讨其核心技术和实现原理。 首先,让我们了解RBAC(Role-Based Access Control),这是一种权限管理模型,通过角色与权限的映射,实现对...
教程首先假设读者已经阅读了前一篇关于Yii2搭建完美后台并实现rbac权限控制的教程,并在此基础上进一步深入讲解菜单权限控制。 首先,教程介绍了如何通过添加menu表来创建菜单项,并且使用AdminLTE作为前端框架来...
虽然这篇文章更侧重于前端和后端之间的交互,但它提供了关于如何将 Flask 用于微信小程序后端开发的一些实用信息。 这些资源涵盖了从系统设计到技术实现的各种细节,对于您的毕业设计应该是非常有用的。希望这些
本篇文章将聚焦于eggJS框架、NodeJS环境、Role-Based Access Control(RBAC)权限系统以及RESTful API的设计,通过具体的项目“edward-egg-gateway”来深入探讨这些知识点。 首先,让我们从eggJS框架开始。eggJS是...
本篇文章将探讨一个关键的安全风险:通过滥用Kubernetes的Role-Based Access Control(RBAC)权限来妥协集群的安全性。 Kubernetes 的核心组件包括API服务器、etcd(用于存储集群状态)、控制器管理器、调度器、...
综上所述,该篇文章的主要贡献在于展示了如何将RBAC96模型扩展来模拟BLP模型,从而为实现基于角色的强制访问控制策略提供了一种新的可能。这种方法不仅有助于增强系统管理员在配置多级安全策略时的灵活性,同时也为...
文章引用了多篇相关研究,如Trent Jaeger在1999年关于约束重要性的讨论,以及RSandhu等人在1994年和1996年关于RBAC模型的深入探讨。这些研究进一步强调了在访问控制中考虑约束和多维度视角的重要性,为AC-RBAC模型...
- 分配权限:`$permission = Permission::create(['name' => 'edit一篇文章']);` - 绑定角色和权限:`$role->attachPermission($permission);` - 检查权限:`Auth::user()->hasPermission('edit一篇文章');` ### 8....
在本篇文章中,我们将探讨PHP人员权限管理(RBAC)实例。RBAC(Role-Based Access Control)即基于角色的访问控制,是一种广泛应用于系统权限管理中的模型。它通过分配不同的角色给用户,让角色去关联相应的权限来...
本篇文章将深入探讨如何利用ASP.NET Identity 2.0框架来扩展RBAC功能,实现更加灵活和精细的权限管理。 ASP.NET Identity 2.0是微软为Web应用提供的一种强大的身份验证和授权系统,它取代了早期的Membership系统,...
本篇文章将详细探讨如何在SpringBoot中实现基于RBAC(Role-Based Access Control,基于角色的访问控制)的权限控制,包括菜单控制、页面元素控制以及URL控制。 首先,让我们理解RBAC模型。RBAC是一种权限分配策略,...
总之,这篇文章为我们提供了一种将神经网络算法应用于移动云计算数据安全访问控制的新思路,它不仅分析了传统访问控制技术的局限性,还探讨了神经网络算法的潜力和实现路径。随着技术的不断进步,这种结合了智能算法...