权限管理的进阶之路
宣布时间 2022-11-02导语
企业信息化建设离不开权限管理，且随着数字化水平的不停加深，企业对权限管理的细粒度及需求度也急速提升。如何让权限管理系统成为企业高效治理与信息宁静的利器？本文通过对各权限管理模型的特点、应用场景及生长趋势进行分析，为企业权限管理建设提供信息参考。
日常事情中，权限问题时刻陪同着我们。新员工入职，公司需为其开通门禁、网络连接、OA系统登录、服务器访问等种种权限；事情中，随着员工部门、职级、事情范围的变化，其种种权限也随之改变。每次权限申请、变换，都需要走审批流程，并耗费一定时间和人力进行管理，十分麻烦。既然如此，为什么众多企业仍接纳严格的权限管理制度，而不是取消或接纳简单的权限管理以减轻企业IT负担？
举个例子，一家企业有数百台服务器、交换机、防火墙，划分了测试环境、生产环境、研发环境等，并将设备的访问及控制权限给到了每一位员工。假若测试人员不小心在生产环境执行了一个reboot命令，重启了设备，则会导致对应的业务系统中断。而如果企业接纳了严格的权限管理把设备管理权限加以细分，就能在很洪流平上制止生产事故的发生。
因此，差异的岗位、级别设置差异权限十分须要，如：涉及交换机、防护墙等网络设备的操作权限，可以只开放给网络管理的相关岗位；涉及数据库、应用法式、日志等相关信息检察权限，可以只开放给运维的相关岗位；严格的权限管理已成为企业数据宁静、生产宁静的重要保证。
ACL——早期基础模型
较早的基础权限管理模型是ACL（Access Control List 访问控制列表）。它是一种基于包过滤的访问控制技术，可以凭据设定的条件对接口上的数据包进行过滤，允许其通过或抛弃。在应用层面来看，常见的交换机、路由器等网络访问计谋配置，接纳的就是ACL控制，控制列表包罗源IP、目的IP、源端口、目的端口、控制（允许或者拒绝）等元素。虽然，Linux设备也是ACL权限控制的实践者，一条ACL条目可以指定某个账号对某个文件或文件夹的读写执行权限。借助于访问控制列表，可以有效地控制用户对网络的访问，从而最洪流平地保障网络宁静。
ACL作为权限管理的基本，可以对某一特定资源拥有访问权限的所有用户实施授权管理，具有存储结构简单、查询效率高等优点。但对于拥有大量用户与众多资源的应用，ACL数据量级大、授权麻烦等缺陷却显露无疑，这时管理访问控制列表酿成了十分繁重的事情，且单纯的ACL权限管理不易实现最小权限原则及庞大的宁静计谋。因此，基于角色的访问控制权限模型RBAC应运而生。
RBAC——权限管理的进阶
RBAC（Role-Based Access Control，基于角色的访问控制）权限模型，是ACL的进阶。RBAC接纳预界说的角色，拥有一组与其相关联的特定权限，并分配这些权限。授权时，将某个用户与某个角色关联（授权），这个用户就拥有了这个角色所界说的权限，从而极大地降低了权限管理的庞大度。
例如，一个被分配了数据库管理员角色的主体，有权限访问普通数据库账号所能访问的数据表。在这个模型中，访问权限是由分配角色的人预先确定的，在确定与每个人相关联的特权时，由被访问工具的所有者明确地确定每个人的角色。每个用户可以拥有多个角色，每个角色拥有多条授权。
东森平台集团35及357系列碉堡机接纳的就是RBAC授权模型，新建用户、资产后，先在计谋管理中新建一条访问计谋，然后去选择用户组或者单一运维用户，再选择资产。在形成的访问计谋下，计谋可以被认为一个角色，当选择的用户组或者资工业务管理组新增用户或资产，自动和计谋进行绑定，而无需人工干预。
东森平台集团468系列碉堡机中，为了更进一步的细化授权及计谋，在同一角色下，可以添加差异协议差异资产，细分人-资源-服务-计谋。如在老版本碉堡机中，一个用户拥有root及test两个管理账号，以便其在运维时同时选择，不受限制。例如，在新版本碉堡机中，我们可以将root新建为特权角色，test新建为普通角色。在特权角色中禁止在非事情时间登录（时间计谋），或者登录该账号需要二次登录审批（登录计谋）。在普通角色中禁止这个账号执行rm -rf 命令（命令计谋），从而使权限控制越发严格和准确。
RBAC权限管理解决了对大量权限的分配问题，减轻了计谋维护事情，且学习成本以及使用成本均较低，适合中小型企业及组织。由于RBAC授权模型中，用户与角色的绑定关系是牢固的，无法满足大型组织对角色和授权关系的细粒度维护及动态管理需求，更高阶的权限管理模型ABAC应时而生。
ABAC——权限管理的未来
ABAC（Attribute-Based Access Control，基于属性的权限验证）访问控制利用了一组称为 “属性”的特征，这包罗用户属性（如用户的姓名、角色、组织、ID和宁静许可等内容）、环境属性（如访问时间、数据的位置和当前组织的威胁品级）和资源属性（如创建日期、资源所有者、文件名和数据敏感性）。在进行授权时，凭据企业制定的顶层宁静计谋，动态地去查询用户的属性，然后凭据这些属性赋予相应的访问权限。
RBAC与ABAC之间最大的区别就是前者是静态的、后者是动态的；前者的用户权限是预先设定的，后者的用户权限是凭据企业宁静计谋和用户其时的属性计算出来的。在RBAC授权模型的基础上再加上属性，就可以形成ABAC的授权模型。所以从另一方面来说，ABAC可以看作RBAC的延续和加强。
ABAC授权模型理论上能够实现非常灵活的权限控制，几乎能满足所有类型的需求，特别是用户数量多且授权比力庞大的场景�；贏BAC以及RBAC授权模型，东森平台集团提出了4A零信任解决方案：以身份为中心，通过连续认证、动态授权、全面审计等手段，资助企业实现业务宁静访问。
1、 以身份为中心：为网络中的人、设备、应用都赋予逻辑身份，并以身份为访问的主体进行权限设置和判定，而非以网络位置为访问控制的依据；
2、 业务宁静访问：所有的访问都应该被加密和强制访问控制，并通过可信应用署理为用户访问业务应用进行�；�。3、 动态细粒度访问控制：所有访问权限不是静态的，而是动态调整的。凭据主体属性、客体属性、环境属性实现动态的、风险感知的可信访问控制。4、连续信任度量：连续的风险和信任度量支持动态访问控制，并通过可信环境感知对终端环境风险进行度量。
京公网安备11010802024551号