目錄
權(quán)限管理的原則
常見的權(quán)限管理模型
總結(jié)
對企業(yè)而言，最重要的一個資源就是有價值的專有信息，也就是自己知道，而其他企業(yè)不知道的信息，因此，專有信息是企業(yè)的重要競爭力，權(quán)限管理的價值體現(xiàn)在專有信息的另個特點：專有信息價值的獨占性和專有信息價值的時效性。
權(quán)限管理是系統(tǒng)設計必不可少的部分；好的權(quán)限管理能夠有效提高系統(tǒng)的安全性，降低誤操作，惡意破壞的風險，那么權(quán)限管理要遵循怎樣的原則呢？
權(quán)限管理的原則
?權(quán)限管理的核心只有一句話：員工獲得的信息范圍和細節(jié)程度，只要保證該員工職責的有效執(zhí)行和落地即可；即最小特權(quán)原則
權(quán)限管理層級劃分和邏輯權(quán)限管理分類
物理層級：辦公場所、房間的權(quán)限，是否有訪問某些檔案的權(quán)限
邏輯層級：在信息網(wǎng)絡、計算機上去訪問數(shù)據(jù)的權(quán)限
功能權(quán)限管理分為3個顆粒度：模塊級別、頁面級別和接口級別
模塊級別：由多個頁面、接口功能組成，例如OA系統(tǒng)中，可以創(chuàng)建報銷、發(fā)票等不同的流程
頁面級別：每個頁面會完成一項獨立的任務；例如：查看報銷流程申請進度的頁面
接口級別：根據(jù)軟件設計原則，一個接口僅完成一項任務，可以分為“增刪改查”等4種不同的功能
常見的權(quán)限管理模型
訪問控制列表ACL——Access Control List
| ACL模型是對每個資源分配一個列表，列表記錄用戶的訪問權(quán)限 系統(tǒng)根據(jù)列表確定用戶能否執(zhí)行操作 |
最常使用在計算機網(wǎng)絡中，路由器基于源ip地址進行過濾等 |
| 優(yōu)點：實現(xiàn)簡單 只需要一張列表，就可以記錄每個用戶對資源的訪問權(quán)限 |
缺點：管理困難 難以規(guī)?；?，資源數(shù)量增多，難以查詢某個用戶的所有權(quán)限 |
強制訪問控制MAC——Mandatory Access Control
| 系統(tǒng)對用戶和訪問資源都標記安全等級，低安全等級的用戶無法訪問高安全等級的資源 |
使用場景一般是需要高等級保密的場所，如政府機構(gòu)部門、軍隊等 在windows2008版本使用了MAC模型，系統(tǒng)中設置了5個安全等級 低等級，中等級，高等級，系統(tǒng)級，可信任級 |
| 優(yōu)點：最為安全的一種保密措施，中心化的信息保密，數(shù)據(jù)等級只能由唯一的根管理員操作 |
缺點：維護成本高，需要定期維護數(shù)據(jù)等級；靈活性低，不利于組織協(xié)作，只能有一個管理員權(quán)限 |
自主訪問控制模型DAC——Discretionary Access Control
| 用戶對自身創(chuàng)建的資源擁有全部權(quán)限 擁有權(quán)限的用戶，可以將該權(quán)限，授予其他用戶，也可以收回授予的權(quán)限 |
使用場景：用戶有權(quán)對所創(chuàng)建的對象進行訪問 常用于文檔系統(tǒng)的權(quán)限設計，例如微軟的NTFS文件系統(tǒng) 在線文檔的權(quán)限管理也常用DAC模型，大多在線文檔都可以設置只讀和編輯權(quán)限 |
| 優(yōu)點：用戶體驗友好，符合人們的思維習慣；便于協(xié)作，可以傳遞權(quán)限給別的用戶 |
缺點：安全最低的模型，數(shù)據(jù)容易泄露都按組織以外的人員；數(shù)據(jù)無法追溯，去中心的權(quán)限管理方式，無法記錄數(shù)據(jù)使用歷史；權(quán)限過于分散，不便于管理 |
角色訪問控制模型RBAC——Role-based Access Control
| 基于組織中角色進行權(quán)限管理 不同角色賦予不同的訪問權(quán)限 凡是存在角色分工的場景都可以使用，是目前使用最為廣泛的模型 |
在windows系統(tǒng)中，用戶組是典型的RBAC模型實現(xiàn)的 互聯(lián)網(wǎng)公司常用的confluence wiki系統(tǒng)，退戶權(quán)限也是基于RBAC實現(xiàn) |
| 優(yōu)點：靈活性高，通過管理角色來管理權(quán)限，僅修改角色權(quán)限記錄；安全度適中，角色管理可以防止富裕用戶多余權(quán)限，符合權(quán)限管理原則。較好的平衡了安全性和靈活性 |
缺點：搭建成本高，需要根據(jù)組織的角色進行權(quán)限設置；不試用臨時授權(quán)；容易忘記臨時授權(quán)操作，造成操作隱患 |
基于屬性的訪問控制模型ABAC——Attribute-based Access Control
| 被認為是下一代訪問控制模型 訪問用戶與資源的關(guān)系是復雜的，可能基于多種不同的環(huán)境因素 基于多種不同環(huán)境屬性，例如IP地址、時間、數(shù)據(jù)與訪問者關(guān)系等，來決定是否允許操作 |
AWS亞馬遜云服務的權(quán)限管理實現(xiàn)了ABAC的權(quán)限訪問呢 |
| 優(yōu)點：控制維度比較多，相比較RBAC，可以通過屬性的方式添加控制維度；例如臨時訪客，可以增加時間標簽，過期后自動銷毀訪問權(quán)限；安全程度高于RBAC；添加規(guī)則簡單，創(chuàng)建新的屬性即可 |
缺點：相比成本更高，相比于RBAC，需要定義的屬性數(shù)量更多，工作量更大，不適用小型組織 |
總結(jié)：
| 模型名 |
模型介紹 |
通用場景 |
| ACL |
用戶、資源、操作權(quán)限三個要素 |
資源數(shù)量較少 |
| MAC |
對用戶和資源設定安全等級，系統(tǒng)通過安全等級判斷用戶能否操作資源 |
資源高度敏感 |
| DAC |
資源的創(chuàng)作者擁有權(quán)限，并對其他用戶授予或者收回權(quán)限 |
資源安全性較低，強調(diào)資源的協(xié)作性 |
| RBAC |
用戶、角色、權(quán)限三要素，通過用戶與角色、角色于權(quán)限來決定資源的權(quán)限管理 |
適用于靈活性、安全性都相對較高的場景 |
| ABAC |
系統(tǒng)根據(jù)屬性判定是否有權(quán)限操作資源，屬性來自于用戶、資源、環(huán)境、政策等文章來源：http://www.zghlxwxcb.cn/news/detail-786741.html |
基于屬性的智能判斷場景文章來源地址http://www.zghlxwxcb.cn/news/detail-786741.html |
到了這里，關(guān)于B端產(chǎn)品經(jīng)理學習-權(quán)限管理的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
