應(yīng)用層數(shù)據(jù)安全管控實踐-權(quán)限模型篇

應(yīng)用層數(shù)據(jù)安全管控實踐—權(quán)限模型篇一、權(quán)限模型迭代概覽權(quán)限的本質(zhì)其實是人與人之間信任關(guān)系的建立和打散，權(quán)限管控的核心是聲明人和權(quán)限的關(guān)系?？v觀行業(yè)發(fā)展，權(quán)限管控模型先后經(jīng)歷了以ACL模型為代表的1.0時代和以RBAC模型為代表的2.0時代，現(xiàn)在正式邁入以TRFAC模型為代表的3.0代。圖表1：基礎(chǔ)權(quán)限模型示意圖【基礎(chǔ)權(quán)限模型介紹】注釋：[1]ACL模型：即AccessControlList，訪問控制列表，用戶與權(quán)限直接關(guān)聯(lián)，直接維護(hù)列表中用戶與資源的關(guān)系從而達(dá)到權(quán)限管控的目的。[2]RBAC模型：即Role-BasedAccessControl，基于角色的訪問控制，RBAC模型則是角色與權(quán)限進(jìn)行關(guān)聯(lián)，用戶成為相應(yīng)的角色而獲得對應(yīng)的權(quán)限。[3]TRFAC模型：即target-resource-factor-actControl，基于“對象-資源-條件-行為”的權(quán)限控制，TRFAC模型描述了“XX對象（人/應(yīng)用/組織/角色等）對XX資源（頁面/菜單/按鈕/數(shù)據(jù)等）在XX條件/因素（城市=北京等）下?lián)碛蠿X行為類型（增刪改查等）的權(quán)限”。二、權(quán)限模型在產(chǎn)品設(shè)計中的應(yīng)用圖表2：基于權(quán)限模型設(shè)計的XX權(quán)限產(chǎn)品DEMO三、TRFAC模型實踐數(shù)據(jù)產(chǎn)品天然存在人和資源之間的復(fù)雜關(guān)系，傳統(tǒng)權(quán)限模型，無論是ACL模型還是RBAC模型，都不能很好地聲明人和權(quán)限的關(guān)系。以下就以兩個典型案例的解決方案，來闡述TRFAC模型的應(yīng)用實踐。[案例1]某業(yè)務(wù)團(tuán)隊需要實現(xiàn)報表權(quán)限控制（維度權(quán)限）需求。業(yè)務(wù)邏輯并不復(fù)雜，但是人和資源的權(quán)限關(guān)系比較細(xì)，傳統(tǒng)ACL模型和RBAC模型均不能滿足，因此，我們采用TRFAC模型來實現(xiàn)。首先，鑒權(quán)主體是人，資源為報表；然后，行級別權(quán)限控制，可以理解為在正常資源關(guān)系中，新增了“維度值”附屬條件，比如，當(dāng)報表資源滿足“城市=北京”的條件時，用戶XX擁有對該報表的權(quán)限。所以我們實現(xiàn)路徑如下：圖表3：行級別權(quán)限實現(xiàn)邏輯圖圖表4：行級別權(quán)限鑒權(quán)流程示意圖思考：為什么不把報表中每一行數(shù)據(jù)都當(dāng)作是資源注冊到權(quán)限中心，這樣行級別權(quán)限其實只是一次更細(xì)粒度的資源鑒權(quán)，為什么要把維度值當(dāng)作是條件呢？[案例2]某某智能數(shù)倉平臺（其實就是指標(biāo)/維度生產(chǎn)維護(hù)服務(wù)平臺），需要權(quán)限中心幫助實現(xiàn)功能和數(shù)據(jù)權(quán)限控制。系統(tǒng)簡易架構(gòu)圖如下：圖表5：XX智能數(shù)倉平臺系統(tǒng)架構(gòu)圖該智能數(shù)倉平臺兼具功能和數(shù)據(jù)權(quán)限管控需求，其中功能權(quán)限包括業(yè)務(wù)線/業(yè)務(wù)域/業(yè)務(wù)過程的管理和維護(hù)，修飾詞的管理和維護(hù)，指標(biāo)/維度的錄入和管理維護(hù)；數(shù)據(jù)權(quán)限包括“指標(biāo)+維度”的數(shù)據(jù)探查權(quán)限，底層庫表的數(shù)據(jù)讀取權(quán)限，具體組織形式如下圖所示：圖表6：XX智能數(shù)倉平臺功能權(quán)限管理體系設(shè)計圖表7：XX智能數(shù)倉平臺角色管控體系在業(yè)務(wù)邏輯上比較復(fù)雜，既有功能權(quán)限，又有數(shù)據(jù)權(quán)限，同時資源之間還有歸屬和繼承關(guān)系，同時還有較為豐富的角色體系，這時候單純用ACL或者RBAC模型都無法全部滿足需求，因此我們采用TRFAC模型來實現(xiàn)：圖表8：角色-權(quán)限實現(xiàn)邏輯圖案例2小結(jié)業(yè)務(wù)線、業(yè)務(wù)域、業(yè)務(wù)過程在TRFAC模型看來都是“資源”：平臺超管角色對業(yè)務(wù)線擁有管理維護(hù)權(quán)限，業(yè)務(wù)線管理員對業(yè)務(wù)域擁有管理維護(hù)權(quán)限，業(yè)務(wù)域管理員對業(yè)務(wù)過程擁有管理維護(hù)權(quán)限指標(biāo)/維度的探查權(quán)限屬于數(shù)據(jù)權(quán)限，既能以角色-權(quán)限的方式來管控，也能以人-資源-權(quán)限的方式管控資源需要依附對象，也就是觸發(fā)鑒權(quán)動作的對象以系統(tǒng)為依附對象，即進(jìn)入系統(tǒng)時對所有資源都觸發(fā)一遍鑒權(quán)詢問。優(yōu)點是業(yè)務(wù)邏輯簡單，不用設(shè)計復(fù)雜的權(quán)限關(guān)系；缺點是鑒權(quán)響應(yīng)速度和性能較差以菜單/模塊/頁面為依附對象，即進(jìn)入相應(yīng)模塊或者頁面時觸發(fā)鑒權(quán)詢問。優(yōu)點是無論是權(quán)限關(guān)系復(fù)雜度還是鑒權(quán)速度和性能都比較均衡；缺點是復(fù)雜或者細(xì)粒度業(yè)務(wù)需求滿足