B端權(quán)限規(guī)則模型：RBAC模型

?來(lái)源｜IT產(chǎn)品焦點(diǎn)

?題圖｜Pexels

編者導(dǎo)語(yǔ)：

一、RBAC模型是什么?

1. RBAC模型概述

2. RBAC的組成

3. RBAC支持的安全原則

• 最小權(quán)限原則：RBAC可以將角色配置成其完成任務(wù)所需的最小權(quán)限集合。

• 責(zé)任分離原則：可以通過(guò)調(diào)用相互獨(dú)立互斥的角色來(lái)共同完成敏感的任務(wù)，例如要求一個(gè)計(jì)賬員和財(cái)務(wù)管理員共同參與統(tǒng)一過(guò)賬操作。

• 數(shù)據(jù)抽象原則：可以通過(guò)權(quán)限的抽象來(lái)體現(xiàn)，例如財(cái)務(wù)操作用借款、存款等抽象權(quán)限，而不是使用典型的讀、寫、執(zhí)行權(quán)限。

4. RBAC的優(yōu)缺點(diǎn)

5. RBAC的3種模型

• 互斥角色 ：同一用戶只能分配到一組互斥角色集合中至多一個(gè)角色，支持責(zé)任分離的原則?；コ饨巧侵父髯詸?quán)限互相制約的兩個(gè)角色。對(duì)于這類角色一個(gè)用戶在某一次活動(dòng)中只能被分配其中的一個(gè)角色，不能同時(shí)獲得兩個(gè)角色的使用權(quán)。常舉的例子：在審計(jì)活動(dòng)中，一個(gè)角色不能同時(shí)被指派給會(huì)計(jì)角色和審計(jì)員角色。

• 基數(shù)約束 ：一個(gè)角色被分配的用戶數(shù)量受限；一個(gè)用戶可擁有的角色數(shù)目受限；同樣一個(gè)角色對(duì)應(yīng)的訪問(wèn)權(quán)限數(shù)目也應(yīng)受限，以控制高級(jí)權(quán)限在系統(tǒng)中的分配。例如公司的領(lǐng)導(dǎo)人有限的；

• 先決條件角色 ：可以分配角色給用戶僅當(dāng)該用戶已經(jīng)是另一角色的成員；對(duì)應(yīng)的可以分配訪問(wèn)權(quán)限給角色，僅當(dāng)該角色已經(jīng)擁有另一種訪問(wèn)權(quán)限。指要想獲得較高的權(quán)限，要首先擁有低一級(jí)的權(quán)限。就像我們生活中，國(guó)家主席是從副主席中選舉的一樣。

• 運(yùn)行時(shí)互斥 ：例如，允許一個(gè)用戶具有兩個(gè)角色的成員資格，但在運(yùn)行中不可同時(shí)激活這兩個(gè)角色。

二、如何設(shè)計(jì)RBAC?

1. RBAC的功能模塊

2. RBAC執(zhí)行流程

3. RBAC數(shù)據(jù)庫(kù)設(shè)計(jì)

4. 用戶組

5. 組織

6. 授權(quán)流程

• 手動(dòng)授權(quán)：管理員登錄權(quán)限中心為用戶授權(quán)，根據(jù)在哪個(gè)頁(yè)面授權(quán)分為兩種方式：給用戶添加角色，給角色添加用戶。

• 給用戶添加角色就是在用戶管理頁(yè)面，點(diǎn)擊某個(gè)用戶去授予角色，可以一次為用戶添加多個(gè)角色；

• 給角色添加用戶就是在角色管理頁(yè)面，點(diǎn)擊某個(gè)角色，選擇多個(gè)用戶，實(shí)現(xiàn)了給批量用戶授予角色的目的。

• 審批授權(quán)：即用戶申請(qǐng)某個(gè)職位角色，那么用戶通過(guò)OA流程申請(qǐng)?jiān)摻巧缓笥缮霞?jí)審批，該用戶即可擁有該角色，不需要系統(tǒng)管理員手動(dòng)授予。

三、整理總結(jié)：

1. RBACM模型

2. 權(quán)限