梗概
RBAC（Role-Based Access Control，基于角色的访问控制）是一种常见的访问控制模型，通过角色来组织和控制用户的访问权限，而不是直接根据用户身份来分配权限。它广泛应用于计算机系统、网络和软件开发中，是现代权限管理的核心思想。
RBAC的基本概念
核心组件
1. 用户（User）
用户是系统中的实体，代表需要访问系统资源的人员或应用程序。
2. 角色（Role）
角色是权限的集合，表示一组具有相似职责或权限的用户。角色通常与组织中的职位、职能或任务相关。
3. 权限（Permission）
权限是对资源的访问控制，如”读取”或”写入”文件的权限、访问某个数据库或API的权限等。
4. 会话（Session）
会话是指用户与系统交互的过程，一个用户可以在多个会话中使用不同的角色，执行不同的任务。
RBAC的工作原理
RBAC的核心思想是基于角色来授予权限，而不是直接将权限赋给用户。
实施步骤
1. 创建角色
根据业务需求和组织结构，定义不同的角色：
- “管理员”
- “开发人员”
- “客户支持”
- “普通用户”
2. 分配权限到角色
为每个角色定义和分配所需的权限：
- 管理员角色：创建、修改、删除用户的权限
- 普通用户：查看和修改自己信息的权限
3. 将用户分配给角色
将用户与特定角色关联，每个用户只能获得角色赋予的权限，不能直接获得其他角色的权限。
4. 控制访问
在用户进行操作时，系统根据其角色赋予的权限来判断是否允许该操作。
应用场景
Web应用中的RBAC
- 路由鉴权：根据用户角色控制页面访问
- API权限控制：限制不同角色可调用的接口
- 数据访问控制：控制用户可查看的数据范围
数据库中的RBAC
容器平台中的RBAC
- kubernetes集群中的RBAC：控制用户对集群资源的访问
- 命名空间隔离：基于角色的资源隔离
云平台中的RAM系统
RAM = Resource Access Management（资源访问管理）
在云平台中，比如阿里云、AWS、华为云中，“RAM” 是指身份权限系统：
- 阿里云：RAM（Resource Access Management）
- AWS：叫做 IAM（Identity and Access Management）
核心是：给用户/角色/服务配置精细的访问权限
举例：阿里云 RAM
你可以创建一个 RAM 用户，赋予他”只读访问 ECS 实例”的权限，然后用这个身份访问接口，而不会暴露主账号密钥。
RAM与RBAC的关系
- RAM是云平台对RBAC模型的具体实现
- 通过RAM可以实现细粒度的云资源访问控制
- 支持临时凭证和跨账户访问控制
- 与审计日志结合，提供完整的操作追溯
RBAC的优势
简化权限管理
- 通过角色批量管理权限，减少管理复杂度
- 新用户加入时只需分配角色，无需逐一设置权限
提高安全性
- 遵循最小权限原则，用户只获得必要的权限
- 便于权限审计和合规检查
灵活性
- 支持角色继承和层次结构
- 可以动态调整角色权限
RBAC的局限性
复杂性问题
如果角色层次过多，可能会导致角色管理复杂，尤其是角色和权限关系繁琐时。
动态权限问题
RBAC更适用于静态、固定的权限结构，动态权限（例如基于时间、地点等）的处理可能比较复杂，通常需要与其他机制（如ABAC或PBAC）结合使用。
权限泛化问题
有时角色设计过于粗粒度，会导致某些用户获得过多的权限，难以做到最小权限原则。