设计基于角色/用户的应用程序安全性

Question

我相信你们中的许多人已经做到了这一点，并且正在寻找一些指导，以设计一个健壮的，可扩展的，可处理多个用户数据（行级）安全性的应用程序。

我们正在研究一种系统，在该系统中，用户（一些人充当个人，一些人作为较大的团体的一部分）将需要访问他们自己的数据以及其他个人和组织与他们共享的数据。 在某些情况下，仅共享数据以供查看，而在其他情况下，将具有完整的编辑权限。 甚至在同一组织内，对于组织中其他用户创建的数据，用户可以看到的内容也将受到限制。

因此，一个非常粗糙的示例可能是...组织AA中具有角色X的用户A（单个用户）具有角色Y的用户B（单个用户）具有角色Z的用户C（单个用户）具有角色X的用户D和E在组织AA中担任角色Y的F和G

每个用户都可以在我们的系统上创建合同。 除非其他人选择与其他单个用户共享该合同，否则其他人将看不到该合同，例如A将与用户B或F共享他的合同。但是用户A可能还希望与组织中角色Y的所有用户共享他的合同AA。 同样，共享合同甚至可能意味着允许编辑合同。

最初，我们希望为每个用户提供一个单独的架构，以确保数据级别的安全性，但这会使共享变得更加复杂，并且还可能导致上千个架构（这样做似乎是个好主意）。 因此，似乎我们唯一的选择就是将所有数据保留在一个数据库中的一个模式中，并简单地设计一个用户和角色驱动的应用程序级别安全模型，该模型可以容纳每个合同上所有必需的CRUD权限。 听起来这将变得非常复杂且“不太漂亮”。 对于每份合同，我们都必须按组织定义用户和角色的列表，这些列表具有这些用户/角色中每一个的单独权限。 有人做过这样的事情吗？ 关于良好和安全的应用程序设计有什么建议吗？

谢谢

Answer 1

这是对此要求的一些粗略想法

由于您是在谈论数据安全控制，而不是系统功能/功能访问控制，因此在此我将重点介绍数据访问控制。

访问控制类的结构

• 您可能希望将所有级别的安全性原子视为同一事物，例如。 g，通常是以个人/权限/角色/组从同一基本原理类继承的方式定义的，然后从概念上讲，所有访问控制定义都将基于该基本原理，因此您无需知道是否控制权是作用于角色，组或用户，这将为您提供更大的灵活性并简化问题。

• 您可能还想将原则定义为一种组合/层次结构，例如

  • 用户A被分配了RoleA，RoleB，RoleC和PERMISSION2
  • 角色A是RoleC和RoleD的组合
  • RoleC是权限PERMISSION1，PERMISSION2等的组合。

顺便说一句：由于此处的设计非常灵活，因此您将需要系统级冲突检查机制来检查

• 任何原则上所有原则之间的冲突都是为了确保不存在系统级冲突（例如，roleA定义用户无法更新Type A文档，而PERMISSION2定义它可以），另一种可能的方法是为不同类型的原理，例如，定义级别USER> ROLE> PERMISSION。

• 还要进行功能级别（SOX法律等）冲突检查，以确保不存在功能级别冲突，例如，有能力付款的人无法使用现金进行操作等）

文件存取

• 然后可以定义一个模式，例如文档/原则/限制类型/限制操作/限制开始和结束日期，以存储每个文档的数据访问控制，

  • 文件可以是合同，采购订单，采购请求等，这里的实际类型完全无关紧要。
  • 原则可以是用户/权限/角色/组等，您也不想在这里关注实际的原则类型，通过这种设计，那些普通文档只需要一行数据（因为我们可以在角色级别），并且如果用户选择与特定组织或个人共享此文档，则该文档也将能够处理。
  • 限制类型可能是“ ALLOW” /“ NOT_ALLOW”等，
  • 限制操作可以是“ VIEW” /“ UPDATE” /“ ADMIN”等，
  • 限制开始和访问日期将是此访问控制生效的日期范围，通过结合此定义的访问日期，操作和限制类型，您可以将特殊访问控制与常规访问控制结合使用，从而实现诸如共享/委派的要求更容易，并且对于正常的访问控制来说也没有带来太多麻烦。

组织

如果您的组织具有层次结构，则还可以定义如何为父组织和子组织继承访问控制，示例模式可能是：

组织编号/访问固有类型/开始和结束日期。

• 组织编号：该组织的主键
• 访问固有类型：可能类似于：ALLOW_ALL_CHILD / ALLOW_ALL_PARENT / ALLOW_ALL_SAME_LEVEL / DENY_ALL等。
• 开始和结束日期可以是此角色生效和结束的日期。

您可能可以实现的功能可能是：

• 对于组织A，不允许其所有子公司查看/更新其下的任何文档。
• 对于组织B，允许其所有子公司对其下的所有文档都具有查看/更新权限，但对同一层次结构级别的文档不具有查看/更新权限。

然后，您可以将此组织级别的访问控制和文档级别的访问控制结合起来，在评估规则时，文档级别的访问控制始终比组织级别的访问控制具有更高的优先级。