【身份与访问控制工程】RBAC、ABAC、ReBAC：权限模型怎么选
💡
原文中文，约20300字，阅读约需49分钟。
📝
内容提要
授权系统设计面临“角色爆炸”问题，RBAC模型在需求变化后难以应对复杂权限管理。本文分析了RBAC、ABAC和ReBAC三种模型的优缺点，强调混合模型的必要性，以适应动态授权和资源级控制的需求。选择合适的模型需考虑组织结构、合规性和性能等因素。
🎯
关键要点
- 授权系统设计面临角色爆炸问题，RBAC模型在需求变化后难以应对复杂权限管理。
- RBAC模型的核心问题在于将授权决策完全依赖于用户角色，导致角色数量激增。
- RBAC模型分为四个级别，RBAC0是基础模型，RBAC1引入角色继承，RBAC2引入职责分离，RBAC3结合了前两者。
- ABAC模型通过属性驱动动态授权，能够处理复杂的授权场景，但在属性获取和一致性上存在挑战。
- ReBAC模型基于关系图进行权限管理，支持资源实例级授权和双向查询，但运维复杂度较高。
- 混合模型结合了RBAC、ABAC和ReBAC的优点，适应不同的授权需求，许多成熟系统采用这种方式。
- 选择合适的授权模型需考虑组织结构、合规性和性能等因素，避免单一模型的局限性。
❓
延伸问答
RBAC模型的主要问题是什么？
RBAC模型的主要问题是角色数量激增，导致角色爆炸，难以应对复杂的权限管理需求。
ABAC模型如何处理动态授权？
ABAC模型通过属性驱动动态授权，依据主体、资源、动作和环境的属性组合进行授权判定。
ReBAC模型的优势是什么？
ReBAC模型的优势在于支持资源实例级授权和双向查询，能够灵活处理主体与资源之间的关系。
为什么混合模型在现实系统中更常见？
混合模型结合了RBAC、ABAC和ReBAC的优点，能够适应不同的授权需求，解决单一模型的局限性。
选择合适的授权模型时需要考虑哪些因素？
选择合适的授权模型需考虑组织结构、合规性和性能等因素，以避免单一模型的局限性。
RBAC模型的四个级别分别是什么？
RBAC模型分为四个级别：RBAC0（核心模型）、RBAC1（角色继承）、RBAC2（职责分离）、RBAC3（层级与约束结合）。
➡️
