主页 Think 主题 RBAC 什么是基于角色的访问控制 (RBAC)?
深入了解 IBM 的身份和访问管理解决方案 订阅 Think 时事通讯
 包含云朵、手机、指纹、对号的拼贴插图

发布日期:2024 年 8 月 20 日
撰稿人:Gregg Lindemulder、Matt Kosinski

什么是基于角色的访问控制 (RBAC)?

基于角色的访问控制 (RBAC) 是一种根据用户的预定义角色,授权最终用户访问系统、应用程序和数据的模型。例如,安全分析师可以配置防火墙,但无法查看客户数据,而销售代表可以查看客户帐户,但不能更改防火墙设置。

在 RBAC 系统中,管理员为每个用户分配一个或多个角色。每个新角色都代表了用户的一组权限或特权。

财务角色可能授权用户进行采购、运行 forecasting 软件或授予供应链系统访问权限。人力资源角色可能授权用户查看人事档案并管理员工福利系统。

拥有众多员工的大型组织通常使用 RBAC 来简化访问管理并维护数字资源的信息安全。一些企业还使用 RBAC 授予实物资产的安全许可,例如建筑物、办公室和数据中心的电子锁。

通过限制用户访问其角色所需资源,RBAC 可以帮助防御恶意内部人员、疏忽的员工和外部威胁行为者。

下载 KuppingerCole 访问管理领导力指南针

了解为什么 KuppingerCole 称 IBM 是提供成熟、可扩展和安全的企业身份验证解决方案的领导者。

RBAC 为何重要?

通过基于角色的访问控制系统,组织可以采用细粒度方法进行身份和访问管理 (IAM),同时简化授权流程和访问控制策略。具体而言,RBAC 可以帮助组织:

  • 更有效地分配权限
  • 保持合规性 
  • 保护敏感数据

更有效地分配权限

 

RBAC 无需为每个用户提供定制的用户权限集。相反,定义的 RBAC 角色确定访问权限。这一流程使组织更容易办理员工入职或离职、更新工作职能和转变业务运营。

RBAC 的优势还包括能够快速添加承包商、供应商和其他第三方用户的访问权限。例如,联合营销角色分配可能会向外部业务合作伙伴授予产品相关数据库的应用程序编程接口 (API) 访问权限。这样既可以让用户访问需要的信息,还能保证公司的机密资源不会被泄露。

保持合规

实施 RBAC 还有助于企业遵守数据保护法规,例如涵盖金融服务和医疗保健组织的授权。RBAC 可以让监管机构了解谁在何时以何种方式对敏感信息进行了访问或修改。

保护敏感数据

 

RBAC 政策通过执行最小特权原则 (PoLP),帮助解决网络安全漏洞。根据 PoLP,用户角色授予完成任务或作业所需的最低级别权限。例如,初级开发人员可能有权处理应用程序的源代码,但未经主管批准不得提交更改。

通过限制敏感数据的访问权限,RBAC 有助于防止意外数据丢失和故意数据泄露。具体来说,RBAC 可以限制横向移动,即黑客使用初始网络访问媒介逐渐扩大其在系统中的覆盖范围。

根据 X-Force Threat Intelligence Index,有效账户滥用(黑客接管合法用户的账户并利用其特权造成损害的行为)是最常见的网络攻击媒介。RBAC 可以从一开始就限制用户账户可以访问的内容,从而减轻黑客可能对该账户造成的损害。

同样, 内部威胁 是数据泄露最昂贵的原因之一。根据 数据泄露成本报告 恶意内部人员造成的泄露平均成本为 499 万美元,高于 488 万美元的总体平均泄露成本。

通过限制用户权限,RBAC 加大了员工因恶意或疏忽滥用其访问权限损害组织的难度。

RBAC 如何工作

在 RBAC 系统中,组织必须首先创建特定的角色,然后定义将授予这些角色哪些权限和特权。组织通常首先将角色大致分为三个顶级类别:管理员、专家或专家用户和最终用户。

为了进一步为特定用户组配置不同的角色,需要考虑权限、责任和技能水平等更精细的因素。有时,一个角色可能直接对应于一个职位。在其他情况下,角色可能指多项权限的集合,这些权限可以分配给满足特定条件的用户,而无需考虑其职位如何。

通常为用户分配多个角色,或者可能将其分配给包含多个访问级别的角色组。一些角色是分层的,并为管理人员提供一整套权限,而其下属的角色获得这些角色权限中的一部分。例如,主管角色可能授予该用户对文档的写入权限,而团队成员仅具有读取访问权限。

RBAC 实际应用示例

 

  1. 医院的 IT 管理员为“护士”创建 RBAC 角色。
  2. 管理员为护士角色设置权限,例如查看药物或将数据输入电子健康记录 (EHR) 系统。
  3. 医院的护理人员被分配 RBAC 护士角色。
  4. 当分配有“护士”角色的用户登录时,RBAC 会检查他们有权使用哪些权限,然后向其授予该会话的访问权限。
  5. 这些用户无权使用开药、安排检查等其他系统权限,因为“护士”角色未被授予这些权限。

RBAC 与身份和访问管理 (IAM)

许多组织使用身份和访问管理 (IAM) 解决方案在整个企业中实施 RBAC。IAM 系统可以帮助在 RBAC 方案中进行身份验证和授权

  • 身份验证 IAM 系统可以通过对照集中式用户目录或数据库检查用户的凭证来验证用户的身份。

  • 授权:IAM 系统可以通过检查用户名录中的角色对用户进行授权,并根据组织 RBAC 方案中的角色授予适当的权限。
RBAC 的三个主要规则是什么?

开发 RBAC 模型的美国国家标准与技术研究院 (NIST) 为所有 RBAC 系统提供三个基本规则。

  1. 角色分配:必须为用户分配一个或多个活动角色才能行使权限或特权。

  2. 角色授权:用户必须获得授权才能承担已为其分配的一个或多个角色。

  3. 权限授权:权限或特权只授予通过角色分配获得授权的用户。
RBAC 的四种模型是什么?

有四种不同的模型用于实现 RBAC,但每种模型都始于相同的核心结构。每个后续模型都在前一个模型的基础上构建新的功能和特性。

  • 核心 RBAC
  • 分层 RBAC
  • 约束 RBAC
  • 对称 RBAC

核心 RBAC
此模型有时称为平面 RBAC,是任何 RBAC 系统的必备基础。它遵循 RBAC 的三个基本规则。为用户分配角色,这些角色授权访问特定的权限和特权集。核心 RBAC 可用作主要访问控制系统,或作为更高级 RBAC 模型的基础。

分级 RBAC
该模型添加了复制组织报告结构的角色层次结构。在角色层次结构中,每个角色都会继承其下级角色的权限并获得新的权限。

例如,角色层次结构可能包括高管、经理、主管和基层员工。位于层次结构顶部的主管获授权使用一整套权限,而经理、主管和基层员工会获授权使用该权限的一小部分。

受限 RBAC
除了角色层次结构之外,该模型还增加了强制职责分离 (SOD) 的功能。职责分离要求两个人完成某些任务,有助于防止利益冲突。

例如,申请报销业务费用的用户不应与批准该申请的人是同一个人。受限 RBAC 策略可确保为这些类型的任务分离用户权限。

对称 RBAC
该模型是 RBAC 最先进、最灵活且最全面的版本。除了之前模型的功能外,该模型还可以加深对整个企业权限的了解。

组织可以查看每个权限与系统中每个角色和每个用户之间的对应关系,还可以根据业务流程和员工职责的变化,调整并更新角色相关的权限。

这些功能对于大型组织尤其有价值,因为大型组织必须确保每个角色和每个用户都拥有执行任务所需的最少访问权限。

RBAC 与其他访问控制框架的比较

组织可能会使用其他访问控制框架作为 RBAC 的替代方案。在某些用例中,组织将 RBAC 与其他授权模型相结合来管理用户权限。常用的访问控制框架包括:

  • 强制访问控制 (MAC)
  • 自主访问控制 (DAC)
  • 基于属性的访问控制 (ABAC)
  • 访问控制表 (ACL)

强制访问控制 (MAC)

 

MAC 系统对所有用户实施集中定义的访问控制策略。MAC 系统的粒度低于 RBAC,并且访问通常基于设置的间隙级别或信任分数。许多操作系统使用 MAC 来控制程序对敏感系统资源的访问。

自主访问控制 (DAC)

 

DAC 系统支持资源所有者为这些资源设置自己的访问控制规则。DAC 比 MAC 的一揽子策略更灵活,比 RBAC 的结构化方法限制更少。

基于属性的访问控制 (ABAC)

 

ABAC 分析用户、对象和操作的属性,如用户名、资源类型和时间,以决定是否授予访问权限。RBAC 比 ABAC 更容易实施,因为 RBAC 使用组织角色而不是每个单独用户的属性来授权访问。

RBAC 和 ABAC 之间的区别在于,ABAC 根据多种因素动态确定当前的访问权限,而 RBAC 仅根据用户的预定义角色确定访问权限。

访问控制表 (ACL)

 

ACL 是一种基本的访问控制系统,它引用用户列表和规则来确定谁可以访问系统或资源,以及他们可以执行哪些操作。

ACL 和 RBAC 之间的区别在于,ACL 为每个用户单独定义规则,而 RBAC 系统根据角色分配访问权限。

对于大型组织,RBAC 被视为更好的访问控制选择,因为它比 ACL 更具可扩展性且更易于管理。

相关解决方案
IBM Verify

利用人工智能,在混合云中保护和管理客户、员工队伍和特权身份。

深入了解 IBM Verify

Identity Fabric

构建与产品无关的有效身份架构,降低身份管理的复杂性。

深入了解 IBM 的身份结构解决方案

IBM Rapid Network Automation

通过在操作块级别上进行基于角色的访问控制来提高安全性。

深入了解 IBM 快速网络自动化
资源 《数据泄露的代价》报告

您可以利用这些重要洞察帮助安全和 IT 团队更好地管理风险和潜在损失。

X-Force Threat Intelligence 指数

通过了解最新的网络攻击策略,您可以更好地保护人员、数据和基础架构。

什么是身份和访问管理 (IAM)?

身份和访问管理 (IAM) 是一门网络安全学科,涉及用户如何访问数字资源以及他们可以如何使用这些资源。

采取后续步骤

IBM Security Verify 是领先的 IAM 平台,提供 AI 驱动的功能来管理员工队伍和客户需求。统一身份孤岛,可以降低基于身份的攻击的风险并提供现代身份验证,包括无密码功能。

深入了解 Verify 试用 Verify 90 天