應(yīng)用層數(shù)據(jù)安全管控實(shí)踐-權(quán)限模型篇

應(yīng)用層數(shù)據(jù)安全管控實(shí)踐—權(quán)限模型篇一、權(quán)限模型迭代概覽權(quán)限的本質(zhì)其實(shí)是人與人之間信任關(guān)系的建立和打散，權(quán)限管控的核心是聲明人和權(quán)限的關(guān)系?？v觀行業(yè)發(fā)展，權(quán)限管控模型先后經(jīng)歷了以ACL模型為代表的1.0時(shí)代和以RBAC模型為代表的2.0時(shí)代，現(xiàn)在正式邁入以TRFAC模型為代表的3.0代。圖表1：基礎(chǔ)權(quán)限模型示意圖【基礎(chǔ)權(quán)限模型介紹】注釋：[1]ACL模型：即AccessControlList，訪問(wèn)控制列表，用戶與權(quán)限直接關(guān)聯(lián)，直接維護(hù)列表中用戶與資源的關(guān)系從而達(dá)到權(quán)限管控的目的。[2]RBAC模型：即Role-BasedAccessControl，基于角色的訪問(wèn)控制，RBAC模型則是角色與權(quán)限進(jìn)行關(guān)聯(lián)，用戶成為相應(yīng)的角色而獲得對(duì)應(yīng)的權(quán)限。[3]TRFAC模型：即target-resource-factor-actControl，基于“對(duì)象-資源-條件-行為”的權(quán)限控制，TRFAC模型描述了“XX對(duì)象（人/應(yīng)用/組織/角色等）對(duì)XX資源（頁(yè)面/菜單/按鈕/數(shù)據(jù)等）在XX條件/因素（城市=北京等）下?lián)碛蠿X行為類型（增刪改查等）的權(quán)限”。二、權(quán)限模型在產(chǎn)品設(shè)計(jì)中的應(yīng)用圖表2：基于權(quán)限模型設(shè)計(jì)的XX權(quán)限產(chǎn)品DEMO三、TRFAC模型實(shí)踐數(shù)據(jù)產(chǎn)品天然存在人和資源之間的復(fù)雜關(guān)系，傳統(tǒng)權(quán)限模型，無(wú)論是ACL模型還是RBAC模型，都不能很好地聲明人和權(quán)限的關(guān)系。以下就以兩個(gè)典型案例的解決方案，來(lái)闡述TRFAC模型的應(yīng)用實(shí)踐。[案例1]某業(yè)務(wù)團(tuán)隊(duì)需要實(shí)現(xiàn)報(bào)表權(quán)限控制（維度權(quán)限）需求。業(yè)務(wù)邏輯并不復(fù)雜，但是人和資源的權(quán)限關(guān)系比較細(xì)，傳統(tǒng)ACL模型和RBAC模型均不能滿足，因此，我們采用TRFAC模型來(lái)實(shí)現(xiàn)。首先，鑒權(quán)主體是人，資源為報(bào)表；然后，行級(jí)別權(quán)限控制，可以理解為在正常資源關(guān)系中，新增了“維度值”附屬條件，比如，當(dāng)報(bào)表資源滿足“城市=北京”的條件時(shí)，用戶XX擁有對(duì)該報(bào)表的權(quán)限。所以我們實(shí)現(xiàn)路徑如下：圖表3：行級(jí)別權(quán)限實(shí)現(xiàn)邏輯圖圖表4：行級(jí)別權(quán)限鑒權(quán)流程示意圖思考：為什么不把報(bào)表中每一行數(shù)據(jù)都當(dāng)作是資源注冊(cè)到權(quán)限中心，這樣行級(jí)別權(quán)限其實(shí)只是一次更細(xì)粒度的資源鑒權(quán)，為什么要把維度值當(dāng)作是條件呢？[案例2]某某智能數(shù)倉(cāng)平臺(tái)（其實(shí)就是指標(biāo)/維度生產(chǎn)維護(hù)服務(wù)平臺(tái)），需要權(quán)限中心幫助實(shí)現(xiàn)功能和數(shù)據(jù)權(quán)限控制。系統(tǒng)簡(jiǎn)易架構(gòu)圖如下：圖表5：XX智能數(shù)倉(cāng)平臺(tái)系統(tǒng)架構(gòu)圖該智能數(shù)倉(cāng)平臺(tái)兼具功能和數(shù)據(jù)權(quán)限管控需求，其中功能權(quán)限包括業(yè)務(wù)線/業(yè)務(wù)域/業(yè)務(wù)過(guò)程的管理和維護(hù)，修飾詞的管理和維護(hù)，指標(biāo)/維度的錄入和管理維護(hù)；數(shù)據(jù)權(quán)限包括“指標(biāo)+維度”的數(shù)據(jù)探查權(quán)限，底層庫(kù)表的數(shù)據(jù)讀取權(quán)限，具體組織形式如下圖所示：圖表6：XX智能數(shù)倉(cāng)平臺(tái)功能權(quán)限管理體系設(shè)計(jì)圖表7：XX智能數(shù)倉(cāng)平臺(tái)角色管控體系在業(yè)務(wù)邏輯上比較復(fù)雜，既有功能權(quán)限，又有數(shù)據(jù)權(quán)限，同時(shí)資源之間還有歸屬和繼承關(guān)系，同時(shí)還有較為豐富的角色體系，這時(shí)候單純用ACL或者RBAC模型都無(wú)法全部滿足需求，因此我們采用TRFAC模型來(lái)實(shí)現(xiàn)：圖表8：角色-權(quán)限實(shí)現(xiàn)邏輯圖案例2小結(jié)業(yè)務(wù)線、業(yè)務(wù)域、業(yè)務(wù)過(guò)程在TRFAC模型看來(lái)都是“資源”：平臺(tái)超管角色對(duì)業(yè)務(wù)線擁有管理維護(hù)權(quán)限，業(yè)務(wù)線管理員對(duì)業(yè)務(wù)域擁有管理維護(hù)權(quán)限，業(yè)務(wù)域管理員對(duì)業(yè)務(wù)過(guò)程擁有管理維護(hù)權(quán)限指標(biāo)/維度的探查權(quán)限屬于數(shù)據(jù)權(quán)限，既能以角色-權(quán)限的方式來(lái)管控，也能以人-資源-權(quán)限的方式管控資源需要依附對(duì)象，也就是觸發(fā)鑒權(quán)動(dòng)作的對(duì)象以系統(tǒng)為依附對(duì)象，即進(jìn)入系統(tǒng)時(shí)對(duì)所有資源都觸發(fā)一遍鑒權(quán)詢問(wèn)。優(yōu)點(diǎn)是業(yè)務(wù)邏輯簡(jiǎn)單，不用設(shè)計(jì)復(fù)雜的權(quán)限關(guān)系；缺點(diǎn)是鑒權(quán)響應(yīng)速度和性能較差以菜單/模塊/頁(yè)面為依附對(duì)象，即進(jìn)入相應(yīng)模塊或者頁(yè)面時(shí)觸發(fā)鑒權(quán)詢問(wèn)。優(yōu)點(diǎn)是無(wú)論是權(quán)限關(guān)系復(fù)雜度還是鑒權(quán)速度和性能都比較均衡；缺點(diǎn)是復(fù)雜或者細(xì)粒度業(yè)務(wù)需求滿足