权限模型 DAC ACL RBAC ABAC

访问控制方式

访问控制	介绍
自主访问控制(DAC，Discretionary Access Control)
强制访问控制 (MAC，Mandatory Access Control)
访问控制列表（ACL，Access Control List）	主体以什么样的行为访问客体资源
基于角色访问控制 (RBAC，Role-based Access Control)	用户、角色、权限（资源、操作）
基于属性访问控制 (ABAC，Attribute-based Access Control)	根据实体属性、环境属性、操作属性进行权限控制

ACL

主体以什么样的行为访问客体资源
访问实体 (Subject)，访问资源 (Object) 和访问方法 (Action)
主体、客体、行为

• 主体：用户，角色
• 客体：资源
• 行为：读写执行

RBAC

RBAC分为几个版本

• RBAC0：用户，角色，权限（资源，操作）
• RBAC1：RBAC0+角色可继承（父子角色）
• RBAC2：RBAC0+角色限制（静态限制，动态限制）
• RBAC3：综合了RBAC0，RBAC1，RBAC2

用户、角色、权限（资源、操作）

RBAC0

RBAC1

RBAC2

SSD(静态职责分离)

• 角色互斥约束：避免监守自盗
• 角色数量约束：用户拥有有限个角色，角色拥有有限个权限
• 角色级别约束：必须先低级别角色，才能拥有高级别角色

DSD(动态职责分离)

• 一次会话中，用户拥有3个角色，只能激活1个角色

RBAC3

ABAC

根据实体属性、环境属性、操作属性进行权限控制
适合复杂的权限需求，可以满足所有权限需求

对比 RBAC-ABAC

模型	特点
RBAC	工程量越大，需要维护角色和授权关系越大
ABAC	适用复杂场景，粒度更细，策略更多