authorization权限控制_Nacos 权限控制介绍及实战

方案背景

Nacos自开源依赖，权限控制一直需求比较强烈，这也反应了用户需求将Nacos部署到生产环境的需求。最新发布的Nacos 1.2.0版本已经支持了服务发现和配置管理的权限控制，保障用户安全上生产。本文主要介绍Nacos权限控制的设计方案和使用指南。

什么是权限控制？

在分布式服务调用时，需要对未知的或者不受信任的请求来源的请求进行识别和拒绝。权限控制一般分为两个阶段：身份识别(Authentication)和权限识别(Authorization)。身份认证主要确定访问者的身份，权限识别则判断这个访问者是否有对应资源的权限。

在Nacos的场景中，配置管理的权限控制指的是设置某个配置能否被某个用户读写，这个比较好理解，没有权限的用户旧无法读取或者写入对应的配置。服务发现的权限控制指的是用户是否有权限进行某个服务的注册或者订阅，这里需要注意的是服务发现的权限控制只能够控制用户是否可以从Nacos获取到服务的地址或者在Nacos上修改服务的地址。但是如果已经获取到了服务的地址，Nacos无法在服务真正调用时进行权限控制，这个时候的权限控制需要由服务框架来完成。

常见实现方式

认证(Authentication)

用户名+密码

Cookie(只适用于浏览器)

Session

Token(JWT，Oauth，LDAP，SAML，OpenID)

AK/SK

鉴权(Authorization)

ACL： 规定资源可以被哪些主体进行哪些操作；

DAC： 规定资源可以被哪些主体进行哪些操作 同时，主体可以将资源的权限，授予其他主体；

MAC：a. 规定资源可以被哪些类别的主体进行哪些操作 b. 规定主体可以对哪些等级的资源进行哪些操作 当一个操作，同时满足a与b时，允许操作；

RBAC： a. 规定角色可以对哪些资源进行哪些操作 b. 规定主体拥有哪些角色当一个操作，同时满足