复杂的Righty系统：ACL，RBAC还有什么？

Question

我们目前正在开发一个项目管理软件。 我们无法确定实施安全性的正确方法。 我们已经查看了ACL和RBAC，并且已经非常确定我们至少需要两者的组合才能出于特定原因。 但是有两个问题在这两个世界都没有很好的解决方案。 让我解释：

假设您有以下实体：

1. 用户 ，具有不同的角色，即
   • 项目负责人
   • 工人
   • 管理员
2. 项目
3. 分配用户
4. 项目中的任务

现在应该表达以下规则：只允许具有角色工作者的 用户查看与分配给他的项目相关的任务 。

这导致仅允许用户查看整个列表中的一些任务 。

我们将使用RBAC为Roles提供实际读取任务的权限。 但由于涉及特定实体，因此不适用该条件。 可以使用ACL，但我们担心保持ACL条目符合要求的噩梦（ 用户可以更改， 角色可以更改，可以引入新任务 ，必须获得正确的条目，这同样复杂）。

当然，在查看特定项目时可能会有特定的查询（ WHERE project_id = 123 ），但这对“查看所有当前任务 ”没有帮助，基本上每个任务都可以考虑显示，但ACL会有检查每一个委托。

我如何确保诸如“获取当前用户可以看到的前25个任务”之类的内容，而无需从数据库加载所有任务，然后根据ACL进行过滤，即处理分页。

Answer 1

您需要超越ACL和RBAC并考虑基于属性的访问控制（ABAC - 请参阅此处的 NIST指南）。 Gartner称这个空间为“外部化授权管理”。

使用ABAC，您可以轻松地表达任何规则，不仅考虑用户是谁，还考虑用户想要做的事情，地点，时间，原因和方式。 使用属性定义授权，您可以使用XACML来实施策略。 XACML是OASIS标准（就像SAML一样）。

使用XACML，您将获得一个API，您可以在其中提出问题，例如： Alice可以查看此记录吗？ 但在你的情况下，这还不够，因为你想从数据库中过滤掉记录。 而且，正如您所描述的那样，您希望查询从一开始就是正确的，而不是来回到数据库，直到您拥有正确数量的授权记录。 这是XACML变得特别有趣的地方，因为它是技术中立的。 您可以将XACML应用于Java，C＃和其他语言（例如Python），但也可以将XACML应用于不同的层（表示，API和...数据库）。 可以以反向查询方式查询XACML以生成SQL语句，然后可以使用该语句在后端数据库中查询相关记录：

• Alice可以查看哪些记录？
• Alice可以在加利福尼亚查看记录，产生“SELECT * FROM records WHERE location ='CA'”

HTH

Answer 2

好吧，我使用Yii框架及其漂亮的RBAC层。 我不太熟悉ACL，最近我也不需要。

在Yii RBAC术语中，您解决方案的关键是使用“业务规则”。 Bizrules是附加到“权限”或“角色”（Yii术语中的“auth项目”）的小代码片段。 当需要确定对某个“权限”的访问权时（可以说，它也可以附加到“角色”），此代码会动态运行，并且它会收到“有问题的项目”（示例中的任务）和确定对特定任务的实际访问权限。 这是一个更详细的例子：

• 说你需要拥有以下权限：
  • 编辑任务（应该允许任何具有'任务管理员'角色的人）
  • 编辑自己的任务（应该允许提交此任务的人员）。
• 现在，在“任务编辑”代码部分中，您首先要检查“编辑任务”权限。 如果好的话 - 允许。
• 如果不允许，还要检查“编辑自己的任务”（使用else-if构造）。 现在在最后提到的权限上应该附加一个bizrule（= php代码），它接受一个'task'对象，并将它的'creator id'与'当前检查的用户id'进行比较。 如果相等，则返回true，表示应该授予访问权限。

简而言之。 如果您对更多内容感兴趣，请参阅官方指南的此部分 。 如果需要，还有许多其他资源。