介绍

在当今的互连和数据驱动的世界中，组织在管理和确保获得其宝贵资源的访问方面面临重大挑战。授权，授予或拒绝访问权利的过程，在确保敏感信息的机密性，完整性和可用性中起着至关重要的作用。

一种获得吸引力的方法是基于关系的访问控制，该方法为寻求简化其授权流程的组织提供了强大的解决方案。

在本文中，我们将探讨REBAC方法如何通过在业务部门，功能和实体之间建立自然联系来简化组织的授权管理。

了解基于关系的访问控制

基于关系的访问控制（REBAC）是一种访问控制的方法，该方法使用组织中各个实体之间的关系和依赖关系来确定访问权限。

与依靠单个用户权限的传统访问控制模型不同，REBAC专注于系统，主题以及角色和系统的权限之间的关系。

REBAC模型

有3种高度使用的基于关系的访问控制模型；所有权，亲子和等级，用户组和团队。

所有权

在所有权访问控制模型中，根据资源的所有权授予访问权限。

让我们考虑一个文件共享平台，创建文件的用户成为该文件的所有者。作为所有者，他们可以完全控制文件，包括修改权限，与他人共享文件或撤销访问权限的能力。其他用户只有在所有者明确授予他们许可的情况下才能访问该文件。所有权模型可确保创建文件的用户保持对可以访问谁的控制以及他们拥有的访问级别的控制。

亲子和等级制

在亲子和层次结构访问控制模型中，访问特权基于实体之间的层次关系。

此模型的常见示例是项目管理系统。不同的项目具有父母和子女实体的层次结构。项目经理是父母实体，而团队成员则是儿童实体。项目经理可以完全访问该项目，并可以根据其角色和职责为团队成员分配特定的权限。团队成员从母公司实体继承访问权限，使他们能够访问相关的项目资源。

此模型确保在项目层次结构中自动传播访问权限，简化访问管理并反映组织结构。

用户组

在用户组访问控制模型中，根据组成员身份定义了访问权限。该小组可以是项目团队或整个部门。

例如，营销团队可能可以访问营销文档和广告系列，而技术团队可能可以访问源代码存储库。组或团队管理员可以通过从各个组中添加或删除用户来管理访问权限。

此模型通过允许将权限授予整个小组或团队，从而简化了访问控制，从而减少了管理单个用户权限的需求。

有关REBAC的访问控制模型的更多详细信息和深入检查，请查看我们的文章Relational Based Access Control Models。

解决方案

基于关系的访问控制解决方案的一个值得注意的例子是Google Zanzibar。桑给巴尔由Google开发，是一个可扩展且灵活的系统，用于管理分布式系统中的访问控制。它利用关系模型来定义用户，角色和资源之间的访问策略和关系。

Google开发了Zanzibar，以解决其基础架构内大规模分布式系统所面临的复杂访问控制挑战。在桑给巴尔之前，Google依靠不同的访问控制系统的组合，每个系统都针对特定的用例量身定制。但是，管理和扩展这些不同的系统变得越来越困难，并导致不一致和效率低下。

为了克服这些挑战，Google试图创建一个统一且可扩展​​的访问控制解决方案，该解决方案可以有效地管理各种资源，服务和用户的访问。桑给巴尔旨在为访问控制管理提供集中式灵活的框架，同时还可以确保可靠的安全性和可扩展性。

如今，桑给巴尔的方法允许组织定义高级政策，然后指定不同实体之间的关系和约束。这不仅可以考虑单个用户权限，还可以考虑授予这些权限的上下文来实现细粒度的访问控制。

要了解有关桑给巴尔的更多信息，我们在文章中总结了它的方面：Google Zanzibar In A Nutshell

开源

有几个受桑给巴尔启发的开源解决方案，其中一个是Permify。

Permandify设计和构建为真正的REBAC解决方案，旨在创建一个强大，灵活且易于审核的授权系统，该系统在组织的所有业务部门，职能和实体之间建立了自然的链接。

让我们继续使用REBAC如何建立资源之间的自然联系和它的基本好处。

自然联系的好处

使用REBAC作为访问控制结构中的主要模型，通过在组织的不同组件之间建立自然联系来简化授权过程。

我能听到您在问，'是什么是建立自然联系？

建立自然联系意味着建立反映组织结构和各个实体之间联系的关系和依赖关系。

这是一个简短的现实示例，可以说明这一概念：让我们考虑一个拥有多个部门的大型零售组织，例如销售，营销和财务。在每个部门中，都有特定的角色和责任分配给员工。

使用REBAC，组织可以在这些角色和职责之间建立联系。
例如，组织可以定义销售部门与销售经理角色之间的关系。此链接表明，分配销售经理角色的个人在销售部门内具有某些访问权限，例如查看销售报告，管理销售团队和访问客户数据。

让我们探索在其授权系统中采用REBAC和自然联系方法的组织的优势。

自动化员工提供

REBAC简化了当员工加入或离开组织时授予和撤销资源访问的过程。

通过建立组织不同组成部分之间的自然联系，REBAC可以简化供应和剥夺工作流程。

当新员工入职时，他们的访问权限可以根据指定的业务部门和职能轻松分配。

同样，当员工离开组织时，可以通过删除相应的链接来迅速撤消其访问权限。这样可以确保员工从第一天起就可以访问必要的访问权限，并降低了挥之不去的雇员的风险。

确保特权最少

将用户权限映射到特定的业务部门和功能，可确保员工根据组织在组织中的角色具有适当的访问水平。

这种颗粒状方法减轻了过度特权的账户风险，并最大程度地减少了受损证书的潜在影响。

例如，营销部门的员工将访问与其角色相关的资源，例如营销活动和客户数据。他们将不受访问超出其工作职责的敏感财务信息的限制。

这可以最大程度地减少攻击表面并提高整体安全性。

避免角色爆炸

角色爆炸是指在访问控制系统中众多角色的扩散。

如果您在授权系统中仅使用RBAC（基于角色的访问控制），以表示角色X可以在资源z上扮演y，则需要创建一个称为“角色y：”的角色： Zâ。但是，随着资源数量和相应的角色的数量不断增加，这种方法的管理和维护变得具有挑战性。

从更高的角度来看，对于某些用例，RBAC通常太粗糙了。在这些情况下，REBAC（基于关系的访问控制）为实现细粒度的权限提供了合适的解决方案。

不是为权限的每种独特组合创建一个单独的角色，而是专注于组织实体之间的关系和依赖关系。这降低了角色管理的复杂性，并使根据已建立的链接更加容易分配和修改访问权限。

它简化了管理并避免了过度复杂的基于角色的访问控制（RBAC）系统的陷阱。

增强审计和合规性

REBAC促进了轻松的审计和合规性监控。

REBAC创建的自然关系为访问控制提供了清晰，直观的结构。因此，审计师（Admins，合规团队成员等）可以通过检查用户，业务单位和功能之间的关系来轻松理解和验证授权过程。

Rebac的层次结构可确保权限从高级角色到低级角色，从而降低了特权升级的风险。还减少了用户获得未经授权访问敏感信息的可能性。

追溯访问权限的能力回到特定的角色和责任可以提高透明度并支持监管合规性工作。

此外，REBAC捕获的上下文信息允许准确详细的审核日志，简化跟踪访问事件的过程并检测任何潜在的安全漏洞。

简化授权管理

REBAC通过允许组织以更高的抽象来定义和管理访问权利来促进有效的授权管理。

而不是将权限分配给个人用户，而是与角色相关联。当员工更改角色或新员工加入组织时，这简化了授予或撤销访问权限的过程。

通过更新分配给角色的权限，组织可以自动将这些更改应用于与该角色相关的所有用户，减少管理开销并确保访问控制的一致性。

结论

基于关系的访问控制为组织提供了一种强大而有效的方法来管理授权。通过建立业务部门，职能和实体之间的自然联系，REBAC简化了授予和管理访问权利的过程。

这不仅提高了运营效率，还可以提高安全性和合规性。随着组织继续应对访问控制的挑战，利用基于关系的访问控制可能是确保合适的人能够访问正确资源的宝贵策略，同时减轻与未经授权的访问相关的风险。