权限系统设计详解（三）：ABAC 基于属性的访问控制

最新推荐文章于 2024-08-27 10:34:31 发布

路多辛

最新推荐文章于 2024-08-27 10:34:31 发布

阅读量4.8k

点赞数 16

分类专栏：身份认证与授权后端系列知识讲解文章标签：服务器网络运维后端访问控制 ABAC

本文链接：https://blog.csdn.net/luduoyuan/article/details/136032899

版权

后端系列知识讲解同时被 2 个专栏收录

76 篇文章 1 订阅

订阅专栏

身份认证与授权

19 篇文章 1 订阅

订阅专栏

本文详细介绍了ABAC的概念、工作原理、关键组件、实施步骤、优势和局限性，探讨了如何在实际环境中扩展和应用这种灵活的访问控制模型以提升系统安全和可控性。

摘要由CSDN通过智能技术生成

ABAC（Attribute-Based Access Control，基于属性的访问控制）是一种灵活的访问控制机制，可以根据多个属性来控制用户对资源的访问。这些属性可以是用户属性（如职位、年龄、部门）、资源属性（如文档分类、创建日期）、环境属性（如访问时间、网络位置）和行为属性（如读取、写入、执行）等。ABAC 通过定义一系列的访问策略，这些策略基于属性进行评估，以决定是否允许用户执行特定的操作。ABAC 提供了比传统的访问控制模型（如基于角色的访问控制 RBAC）更高的灵活性和更细的粒度。

ABAC 的概念

ABAC 模型基于四个核心元素：用户、资源、环境和操作。用户是请求访问系统资源的实体，可以是个人、程序或设备。资源是需要保护的系统实体，如文件、数据库、应用程序等。环境包括访问发生时的上下文信息，如时间、地点、安全级别等。操作是用户请求对资源执行的行为，如读取、写入、删除等。

ABAC 模型通过将用户、资源、环境和操作与一组属性相关联，实现了细粒度的访问控制。这些属性可以是静态的，如用户的角色或部门的标识符；也可以是动态的，如当前的时间或用户的地理位置。ABAC 策略定义了这些属性之间的关系，以及它们如何影响访问决策。

ABAC 的工作原理

ABAC 通过评估一系列预定义的策略来决定是否授予权限。这些策略是基于属性的逻辑语句，定义了访问控制的规则。当用户尝试访问资源时，ABAC 系统会检查相关的属性和策略，如果属性满足策略条件，则授权访问。

ABAC 的关键组件

属性（Attributes）：属性是 ABAC 中的核心概念，是关于用户、资源、操作和环境的描述性信息。属性的值可以是静态的（例如用户的部门）或动态的（例如当前时间）。
策略（Policies）：策略是定义访问规则的语句，描述了在什么条件下可以执行哪些操作。策略通常由安全管理员定义，并可以随时更新以适应组织的变化。
策略决策点（Policy Decision Point，PDP）：PDP 是 ABAC 系统中的一个组件，负责评估策略并做出访问控制决策。接收访问请求和相关属性，然后根据策略做出决策。
策略执行点（Policy Enforcement Point，PEP）：在资源上执行 PDP 做出的访问决策的组件。拦截用户的访问请求，并在允许访问之前要求 PDP 做出决策。
策略管理点（Policy Administration Point，PAP）：PAP 用于创建、管理和存储访问控制策略。通常提供图形界面供管理员使用。
属性服务（Attribute Service）：是一个存储和管理属性的系统，可以是目录服务、数据库或其他类型的信息存储系统。