权限模型基石: 自主访问控制（DAC）、强制访问控制（MAC）、基于角色的访问控制（RBAC）、基于属性的访问控制（ABAC）

老马啸西风2025/9/6大约 12 分钟

权限管理是统一身份治理平台的核心功能之一，它决定了谁可以访问什么资源以及可以执行什么操作。不同的权限模型适用于不同的应用场景，各有其优势和局限性。本文将深入探讨四种主要的权限模型：自主访问控制（DAC）、强制访问控制（MAC）、基于角色的访问控制（RBAC）和基于属性的访问控制（ABAC），帮助您全面理解权限管理的核心理论。

引言

在现代企业IT环境中，权限管理已成为保障信息安全和业务连续性的关键环节。随着企业规模的扩大和业务复杂性的增加，传统的权限管理方式已无法满足现代企业的需求。理解不同权限模型的特点和适用场景，对于设计和实现高效的权限管理系统具有重要意义。

自主访问控制（DAC）模型

DAC模型概述

自主访问控制（Discretionary Access Control，DAC）是最简单的访问控制模型，资源的所有者可以自主决定谁可以访问其资源。在DAC模型中，用户对自己的资源拥有完全的控制权，可以自由地授予或撤销其他用户的访问权限。

核心特征

所有权概念：每个资源都有明确的所有者
自主性：资源所有者可以自由决定访问控制策略
传递性：权限可以传递给其他用户
灵活性：用户可以根据需要灵活调整权限

实现机制

DAC模型通常通过访问控制列表（ACL）或能力表（Capability List）来实现：

访问控制列表（ACL）

ACL为每个资源维护一个访问控制列表，列表中包含有权访问该资源的用户及其权限。当用户请求访问资源时，系统检查ACL以确定是否授权。

能力表（Capability List）

能力表为每个用户维护一个能力列表，列表中包含该用户有权访问的资源及其权限。当用户请求访问资源时，系统检查能力表以确定是否授权。

优势与局限性

优势

实现简单：DAC模型概念简单，易于理解和实现
灵活性高：资源所有者可以灵活控制访问权限
用户友好：符合用户的直觉和习惯

局限性

管理复杂：在大型系统中，权限管理变得复杂且容易出错
安全风险：资源所有者可能不当授权，导致安全风险
缺乏全局控制：系统管理员难以实施统一的安全策略

适用场景

DAC模型适用于以下场景：

小型工作组环境
文件共享系统
个人数据管理系统

强制访问控制（MAC）模型

MAC模型概述

强制访问控制（Mandatory Access Control，MAC）由系统管理员统一管理访问控制策略，用户无法改变自己的权限。在MAC模型中，系统为每个用户和资源分配安全标签（Security Label），访问决策基于这些标签的比较。

核心特征

强制性：访问控制策略由系统强制执行，用户无法更改
集中管理：权限管理由系统管理员统一负责
安全标签：通过安全标签实现访问控制
等级结构：通常采用等级化的安全标签体系

实现机制

MAC模型通过为用户和资源分配安全标签来实现访问控制：

安全标签体系

安全标签通常包含以下信息：

安全等级：如绝密、机密、秘密、公开等
部门分类：如财务、人事、研发等
时间限制：访问的时间范围

访问决策规则

MAC模型采用"不下读、不上写"的原则：

不下读：用户不能读取安全等级高于自己的资源
不上写：用户不能向安全等级低于自己的资源写入数据

优势与局限性

优势

安全性高：严格的访问控制策略有效防止信息泄露
集中管理：系统管理员可以实施统一的安全策略
防止内部威胁：即使内部人员也无法超越权限访问资源

局限性

灵活性差：用户无法根据需要调整权限
管理复杂：需要维护复杂的标签体系
用户体验差：过于严格的控制可能影响工作效率

适用场景

MAC模型适用于以下场景：

军事和政府部门
金融机构的核心系统
高安全性要求的企业环境

基于角色的访问控制（RBAC）模型

RBAC模型概述

基于角色的访问控制（Role-Based Access Control，RBAC）通过角色这一中介概念，将用户与权限解耦，大大简化了权限管理的复杂性。在RBAC模型中，权限分配给角色，用户通过分配到角色来获得相应的权限。

核心概念

用户（User）：系统的使用者
角色（Role）：权限的集合，代表某种职能或岗位
权限（Permission）：对资源的操作权利
会话（Session）：用户与系统的一次交互过程

基本关系

RBAC模型包含以下基本关系：

用户-角色分配（UA）：用户被分配到角色的关系
角色-权限分配（PA）：角色被分配权限的关系
角色层次（RH）：角色之间的继承关系

RBAC模型层次

RBAC模型通常分为以下几个层次：

RBAC0（基本模型）

包含用户、角色、权限以及它们之间的基本关系。

RBAC1（角色层次）

在RBAC0基础上增加了角色层次关系，支持角色继承。

RBAC2（约束模型）

在RBAC0基础上增加了约束条件，如互斥角色约束、基数约束等。

RBAC3（完整模型）

结合了RBAC1和RBAC2的所有特性。

优势与局限性

优势

管理简化：通过角色抽象，大大简化了权限管理
职责分离：支持职责分离原则，提高安全性
易于维护：权限变更只需调整角色，无需修改每个用户
符合组织结构：角色通常对应组织中的岗位，易于理解

局限性

角色爆炸：在复杂环境中可能出现角色数量激增的问题
静态性：难以处理动态的访问控制需求
粒度限制：在某些场景下权限粒度可能不够精细

适用场景

RBAC模型适用于以下场景：

企业级应用系统
组织结构相对稳定的环境
需要职责分离的业务系统

属性（Attribute）：描述用户、资源、环境等实体特征的信息
策略（Policy）：定义访问控制规则的表达式
策略决策点（PDP）：评估策略并做出访问决策的组件
策略执行点（PEP）：执行访问决策的组件

属性类型

ABAC模型中常见的属性类型包括：

主体属性（Subject Attributes）

描述用户特征的属性，如：

用户ID、姓名、部门
用户角色、职位级别
安全等级、认证状态

资源属性（Resource Attributes）

描述资源特征的属性，如：

资源ID、名称、类型
资源所有者、创建时间
安全等级、敏感级别

环境属性（Environment Attributes）

描述访问环境特征的属性，如：

时间、日期、星期
IP地址、地理位置
设备类型、网络状态

操作属性（Action Attributes）

描述操作特征的属性，如：

操作类型（读、写、删除）
操作敏感级别
操作时间限制

灵活性高：可以根据多种属性组合实现精细的访问控制
动态性强：能够根据环境变化动态调整访问决策
可扩展性好：易于添加新的属性和策略规则
精确控制：支持非常精细的权限控制

局限性

复杂性高：策略设计和管理相对复杂
性能开销：属性评估可能带来额外的性能开销
学习成本：需要掌握策略语言和设计方法

适用场景

ABAC模型适用于以下场景：

云计算环境
微服务架构
需要动态访问控制的场景
高安全性要求的系统

基础权限通过角色分配
特殊权限通过属性控制
实现更精细的权限管理

MAC+RBAC组合

在高安全性环境中结合MAC和RBAC：

MAC提供基础安全框架
RBAC简化权限管理
实现安全与效率的平衡

实现策略

分层实现

根据不同安全级别采用不同的权限模型：

核心系统采用MAC
业务系统采用RBAC
特殊场景采用ABAC

动态切换

根据访问上下文动态选择权限模型：

正常访问采用RBAC
敏感操作引入ABAC
特殊时期启用MAC

高安全性要求：MAC或ABAC
中等安全性要求：RBAC
基础安全性要求：DAC

管理复杂度

简单管理：DAC
中等复杂度：RBAC
复杂管理：MAC、ABAC

系统规模

小型系统：DAC
中型系统：RBAC
大型系统：RBAC、ABAC

业务复杂度

简单业务：DAC、RBAC
复杂业务：ABAC
特殊业务：MAC

实施建议

逐步演进

权限模型的实施应该采用逐步演进的方式：

从简单的DAC或RBAC开始
根据业务发展逐步引入复杂模型
避免一次性大规模改造

试点先行

在全面推广前进行试点：

选择典型业务场景
验证模型适用性
收集反馈并优化

持续优化

权限模型需要持续优化：

定期评估模型效果
根据业务变化调整
引入新技术和方法

public class User {
    private String userId;
    private String username;
    private String department;
    private String position;
    private List<String> roles;
    private Map<String, Object> attributes;
}

角色权限模型

public class Role {
    private String roleId;
    private String roleName;
    private String description;
    private List<Permission> permissions;
    private List<String> parentRoles;
}

权限定义模型

public class Permission {
    private String permissionId;
    private String resource;
    private String action;
    private String description;
}

策略引擎实现

策略评估器

public interface PolicyEvaluator {
    boolean evaluate(User user, Resource resource, Action action, Context context);
}

策略存储

public interface PolicyRepository {
    List<Policy> findPolicies(User user, Resource resource, Action action);
    void savePolicy(Policy policy);
    void deletePolicy(String policyId);
}

性能优化

缓存机制

public class PermissionCache {
    private Cache<String, Set<Permission>> userPermissionCache;
    private Cache<String, Set<Permission>> rolePermissionCache;
    
    public Set<Permission> getUserPermissions(String userId) {
        return userPermissionCache.get(userId, 
            () -> calculateUserPermissions(userId));
    }
}

预计算优化

public class PermissionPrecomputer {
    public void precomputeUserPermissions(String userId) {
        Set<Permission> permissions = calculateUserPermissions(userId);
        permissionCache.put(userId, permissions);
    }
}

权限申请流程
权限审批流程
权限变更流程
权限审计流程

自动化工具

使用自动化工具提升管理效率：

权限分配自动化
权限回收自动化
权限审计自动化
异常检测自动化

监控告警

建立完善的监控告警机制：

权限异常监控
访问行为监控
安全事件告警
合规性检查

结论

权限管理是统一身份治理平台的核心功能，不同的权限模型各有其特点和适用场景。理解DAC、MAC、RBAC和ABAC四种模型的原理和特性，对于设计和实现高效的权限管理系统具有重要意义。

在实际应用中，很少有系统会纯粹使用某一种权限模型，更多的是根据具体需求组合使用多种模型。例如，在企业级应用中，可能会以RBAC模型为主体，结合ABAC模型实现更精细的访问控制。

通过合理选择和组合权限模型，并采用先进的技术实现方法，可以构建一个既安全又高效的权限管理系统，为企业的数字化转型提供有力支撑。