RBAC角色的權(quán)限管理系統(tǒng)簡(jiǎn)介

RBAC權(quán)限管理權(quán)限管理，這是每個(gè)軟件系統(tǒng)都會(huì)涉及到的，而且權(quán)限管理的需求本質(zhì)往往都是一樣，無(wú)論角色擁有怎樣的權(quán)限，只要你充當(dāng)了這個(gè)角色，你就擁有了這些功能。

舉個(gè)簡(jiǎn)單例子：一個(gè)老師在學(xué)校教室他就擁有教書育人的權(quán)利義務(wù)，一個(gè)丈夫在家就有呵護(hù)妻子支撐家庭的權(quán)利義務(wù)，而一個(gè)父親在孩子面前就有保護(hù)孩子，教育孩子的權(quán)利義務(wù)……而作為一個(gè)男生，我們很可能在不同的場(chǎng)所，成為這些角色，從而擁有了這些權(quán)利義務(wù)。而抽象出來(lái)就是用戶，角色和權(quán)利三個(gè)方面。所以經(jīng)過(guò)前人對(duì)權(quán)限方面的總結(jié)抽象，總結(jié)出來(lái)RBAC〔Role-BasedAccessControl〕基于角色的訪問(wèn)控制。RBAC權(quán)限管理RBAC〔Role-BasedAccessControl，基于角色的訪問(wèn)控制〕，就是用戶通過(guò)角色與權(quán)限進(jìn)行關(guān)聯(lián)。簡(jiǎn)單地說(shuō)，一個(gè)用戶擁有假設(shè)干角色，每一個(gè)角色擁有假設(shè)干權(quán)限。這樣，就構(gòu)造成“用戶-角色-權(quán)限”的授權(quán)模型。在這種模型中，用戶與角色之間，角色與權(quán)限之間，一般者是多對(duì)多的關(guān)系?！踩缫韵聢D〕RBAC權(quán)限管理RBAC認(rèn)為權(quán)限授權(quán)實(shí)際上是Who、What、How的問(wèn)題。在RBAC模型中，who、what、how構(gòu)成了訪問(wèn)權(quán)限三元組,也就是“Who對(duì)What(Which)進(jìn)行How的操作”。Who：權(quán)限的擁用者或主體〔如Principal、User、Group、Role、Actor等等〕What：權(quán)限針對(duì)的對(duì)象或資源〔Resource、Class〕。How：具體的權(quán)限〔Privilege,正向授權(quán)與負(fù)向授權(quán)〕。Operator：操作。說(shuō)明對(duì)What的How操作。也就是Privilege+ResourceRole：角色，一定數(shù)量的權(quán)限的集合。權(quán)限分配的單位與載體,目的是隔離User與Privilege的邏輯關(guān)系.Group：用戶組，權(quán)限分配的單位與載體。權(quán)限不考慮分配給特定的用戶而給組。組可以包括組(以實(shí)現(xiàn)權(quán)限的繼承)，也可以包含用戶，組內(nèi)用戶繼承組的權(quán)限。User與Group是多對(duì)多的關(guān)系。Group可以層次化，以滿足不同層級(jí)權(quán)限控制的要求。RBAC權(quán)限管理當(dāng)用戶的數(shù)量非常大時(shí)，要給系統(tǒng)每個(gè)用戶逐一授權(quán)〔授角色〕，是件非常煩瑣的事情。這時(shí)，就需要給用戶分組，每個(gè)用戶組內(nèi)有多個(gè)用戶。除了可給用戶授權(quán)外，還可以給用戶組授權(quán)。這樣一來(lái)，用戶擁有的所有權(quán)限，就是用戶個(gè)人擁有的權(quán)限與該用戶所在用戶組擁有的權(quán)限之和。〔下圖為用戶組、用戶與角色三者的關(guān)聯(lián)關(guān)系〕RBAC權(quán)限管理RBAC1，基于RBAC0模型，進(jìn)行了角色的分層，也就是說(shuō)角色上有了上下級(jí)的區(qū)別，存在了繼承包含關(guān)系，也就是前邊說(shuō)過(guò)的適合于用樹展現(xiàn)的哪種自關(guān)聯(lián)的結(jié)構(gòu)，這種模型適宜于角色之間的層次明確，包含明確。但是認(rèn)為用第一種模型也是可以的，只不過(guò)第一種可能會(huì)有數(shù)據(jù)冗余，沒有這種更加面向?qū)ο蠡?。RBAC權(quán)限管理RBAC2，也是基于RBAC0模型的根底上，進(jìn)行了角色的訪問(wèn)控制。a,RBAC2中的一個(gè)根本限制時(shí)互斥角色的限制，互斥角色是指各自權(quán)限互相制約的兩個(gè)角色。對(duì)于這類角色一個(gè)用戶在某一次活動(dòng)中只能被分配其中的一個(gè)角色，不能同時(shí)獲得兩個(gè)角色的使用權(quán)。常舉的例子：在審計(jì)活動(dòng)中，一個(gè)角色不能同時(shí)被指派給會(huì)計(jì)角色和審計(jì)員角色；b,是指角色的權(quán)利權(quán)利是有限的，用戶有用的角色也是有限的，當(dāng)然分配用戶時(shí)也是有限的，不能進(jìn)行無(wú)限制的分配用戶，例如公司的領(lǐng)導(dǎo)人有限的；c,是指要想獲得較高的權(quán)限，要首先擁有低一級(jí)的權(quán)限。T-ARBAC權(quán)限管理1〕無(wú)法滿足租戶訪問(wèn)控制策略的多樣性要求傳統(tǒng)情況下，不同企業(yè)間應(yīng)用的部署是分開實(shí)施的，并且根據(jù)企業(yè)的不同需求制定不同的權(quán)限管理統(tǒng)。而在多租戶環(huán)境下，傳統(tǒng)的訪問(wèn)控制模型的使用會(huì)使得整個(gè)系統(tǒng)資源的分配、角色等級(jí)都是全局性的，不能滿足租戶個(gè)性化需求。T-ARBAC權(quán)限管理2〕無(wú)法滿足系統(tǒng)用戶類型的增加的要求傳統(tǒng)的基于角色的訪問(wèn)控制模型中，系統(tǒng)角色又可分為規(guī)那么角色與管理角色，其中規(guī)那么角色用來(lái)執(zhí)行系統(tǒng)的業(yè)務(wù)功能，而管理角色那么用來(lái)管理系統(tǒng)中角色的創(chuàng)立、權(quán)限的分配等工作。而在多租戶環(huán)境下，每個(gè)租戶都有各自的規(guī)那么角色，管理角色，租戶間的規(guī)那么、管理角色是分開，同時(shí)應(yīng)用的提供者具有更高層次的平臺(tái)規(guī)那么角色、平臺(tái)管理角色，平臺(tái)規(guī)那么角色用來(lái)對(duì)所有的租戶進(jìn)行管理，如資源分配，費(fèi)用收取等，而這種管理角色在普通的RBAC是沒有的。T-ARBAC權(quán)限管理為使SaaS效勞具有統(tǒng)一的權(quán)限管理模型，本文將效勞提供商與租戶的權(quán)限管理進(jìn)行了統(tǒng)一，并且由于SaaS效勞的用戶類型較以往變得豐富多樣〔包括平臺(tái)管理用戶、平臺(tái)規(guī)那么用戶、租戶管理用戶、租戶規(guī)那么用戶〕，提出了一個(gè)兩層的訪問(wèn)控制模型，包括平臺(tái)層〔效勞提供商〕和租戶層〔企業(yè)用戶〕，從而有效地對(duì)不同類型的用戶進(jìn)行了區(qū)分，使得他們通過(guò)松耦合關(guān)系統(tǒng)一在同一個(gè)訪問(wèn)控制模型中，使得平臺(tái)對(duì)租戶的管理即得以輕松進(jìn)行，又使得其不會(huì)由于權(quán)限過(guò)大而對(duì)租戶的業(yè)務(wù)產(chǎn)生干擾，實(shí)現(xiàn)平臺(tái)管理者對(duì)租戶的不可干預(yù)，有效保障各租戶的隱私。T-ARBAC權(quán)限管理SaaS平臺(tái)用戶類型1、平臺(tái)管理用戶。負(fù)責(zé)管理平臺(tái)的規(guī)那么用戶，包括該局部用戶的授權(quán)等工作，其工作與租戶完全沒有交集。2、平臺(tái)規(guī)那么用戶。即前文提到的平臺(tái)管理員，負(fù)責(zé)平臺(tái)日常維護(hù)，包括對(duì)企業(yè)租戶的各種管理，但是平臺(tái)規(guī)那么用戶無(wú)權(quán)干預(yù)租戶的具體業(yè)務(wù)，防止效勞提供商對(duì)租戶業(yè)務(wù)干預(yù)帶來(lái)的平安問(wèn)題。T-ARBAC權(quán)限管理3〕租戶管理用戶：訪問(wèn)SaaS平臺(tái)的企業(yè)用戶，在SaaS平臺(tái)中，各