Rol ve İzin Tabanlı Erişim Kontrolü

Erişim kontrolü (yetkilendirme) söz konusu olduğunda, roller ve izinler arasındaki içsel değişmeyi anlamaya çalışıyorum.

Bir verilenle başlayalım: Sistemimizde, bir İzin iyi ayarlanmış bir erişim birimi olacaktır (" Kaynak X'i Düzenle ", " Gösterge tablosu sayfasına eriş ", vb.). Bir Rol 1+ İzinler topluluğu olacaktır. Bir kullanıcının 1+ Rolü olabilir. Tüm bu ilişkiler (Kullanıcılar, Roller, İzinler) hepsi bir veritabanında saklanır ve anında ve gerektiğinde değiştirilebilir.

Endişelerim:

(1) Erişim kontrolü için Roller kontrolünde bu kadar "kötü" olan nedir? Bunun yerine izinleri kontrol ederek ne gibi faydalar elde edilir? Başka bir deyişle, aşağıdaki iki snippet arasındaki fark nedir:

if(SecurityUtils.hasRole(user)) {
    // Grant them access to a feature
}

// vs.
if(SecurityUtils.hasPermission(user)) {
    // Grant them access to a feature
}

Ve:

(2) Bu senaryoda, Roller ne gibi faydalı değerler sağlar? Doğrudan Kullanıcılara 1+ İzin atayamaz mıyız? Rollerin hangi somut değerlerini sunarlar (birisi belirli örnekler verebilir)?

(1) Erişim kontrolü için Roller kontrolünde bu kadar "kötü" olan nedir? Bunun yerine izinleri kontrol ederek ne gibi faydalar elde edilir?

Kontrol anında, arama kodunun yalnızca "X kullanıcısı Y eylemini gerçekleştirme iznine sahip mi?" .
Çağıran kod, roller ve izinler arasındaki ilişkileri önemsemez ve farkında olmamalıdır.

Yetkilendirme katmanı daha sonra kullanıcının bu iznin olup olmadığını kontrol ederek kullanıcının bu izne sahip olup olmadığını kontrol eder. Bu, arama kodunu güncellemeden yetkilendirme mantığını değiştirmenize olanak sağlar.

Çağrı sitesindeki rolü doğrudan kontrol ediyorsanız, endişelerin ayrılmasını ihlal eden dolaylı olarak rol-izin ilişkileri oluşturuyor ve arama koduna yetkilendirme mantığı enjekte ediyorsunuz.

Daha sonra bu rolün fooizninin olmaması gerektiğine karar verirseniz baz, kullanıcının a olup olmadığını denetleyen her kodu değiştirmeniz gerekir foo.

(2) Bu senaryoda, Roller ne gibi faydalı değerler sağlar? Doğrudan Kullanıcılara 1+ İzin atayamaz mıyız? Rollerin hangi somut değerlerini sunarlar (birisi belirli örnekler verebilir)?

Roller kavramsal olarak adlandırılmış bir izinler koleksiyonunu temsil eder.

Bir kullanıcının belirli ayarları düzenlemesine olanak sağlayan yeni bir özellik eklediğinizi varsayalım. Bu özellik sadece yöneticiler için mevcut olmalıdır.

Kullanıcı başına izinleri saklıyorsanız, veritabanınızda bir şekilde yönetici olduğunu bildiğiniz tüm kullanıcıları bulmanız gerekir (Kullanıcılar için rol bilgisi saklamazsanız, hangi kullanıcıların yönetici olduğunu nasıl bilebilirsiniz?) Ve ekleme bu izin izin listelerine aittir.

Rolleri kullanırsanız, yalnızca izlemenin iznini eklemeniz gerekir Administrator; bu, hem gerçekleştirilmesi daha kolay, hem de daha fazla alan verimlidir ve hatalara daha az eğilimlidir.

İlk sorunuza cevaben, bir kullanıcının belirli bir izinden ziyade bir rolü olduğunu kontrol etmedeki en büyük sorun, izinlerin birden fazla rol üstlenebileceğidir. Buna bir örnek olarak, bir geliştirici, muhtemelen menajerleri tarafından tutulan bir izin olan şirket intranetindeki geliştirici portalını görmeye erişebilir. Bir kullanıcı geliştirici portalına erişmeye çalışıyorsa, şuna benzer bir çekiniz olur:

if(SecurityUtils.hasRole(developer)) {
    // Grant them access to a feature
} else if(SecurityUtils.hasRole(manager)) {
    // Grant them access to a feature
} else if...

( switchSeçtiğiniz dilde bir ifade daha iyi olurdu, ama yine de düzenli değil)

Bir izin ne kadar yaygın veya yaygınsa, belirli bir sisteme erişebildiğinden emin olmak için kontrol etmeniz gereken kullanıcı rolleri o kadar fazladır. Bu aynı zamanda, bir rol için izinleri her değiştirdiğinizde, bunu yansıtmak için çeki değiştirmek zorunda kalacağınız sorununa yol açacaktır. Büyük bir sistemde bu çok çabuk hantallaşacaktır.

Kullanıcının, örneğin geliştirici portalına erişmesine izin veren izni olup olmadığını kontrol ederseniz, hangi rolde oldukları önemli değildir, erişim izni verilir.

İkinci sorunuzu yanıtlamak için, rolünüzün nedeni, izinlerin "paketlerini" değiştirmek ve dağıtmak kadar kolay davranmalarıdır. Yüzlerce rol ve binlerce izne sahip bir sisteminiz varsa, yeni bir kullanıcı eklemek (örneğin yeni bir İK yöneticisi) geçmenizi ve diğer İK yöneticilerinin sahip olduğu her bir izni vermenizi gerektirir. Bu sadece sıkıcı olmaz, aynı zamanda manuel olarak yapılırsa hatalara açıktır. Bunu sadece bir kullanıcının profiline "İK yöneticisi" rolünü eklemekle karşılaştırın; bu, onlara bu roldeki diğer tüm kullanıcılarla aynı erişimi verecektir.

Varolan bir kullanıcıyı (sisteminiz destekliyorsa) basitçe klonlayabileceğinizi iddia edebilir, ancak bu, kullanıcıya o an için doğru izinleri verirken, gelecekte tüm kullanıcılar için bir izin eklemeye veya kaldırmaya çalışıyor olabilir. zor. Bunun için örnek bir senaryo, belki geçmişte İK personelinin de bordrodan sorumlu olmasıydı, ancak daha sonra şirket, özellikle maaş bordrosunu idare etmek için personel istihdam edecek kadar büyür. Bu, İK'nın artık bordro sistemine erişmesi gerekmediği için izinlerin kaldırılması anlamına geliyor. 10 farklı İK üyeniz varsa, el ile geçmeniz ve kullanıcı hatası olasılığını ortaya çıkaran doğru izni kaldırdığınızdan emin olmanız gerekir. Bununla ilgili diğer sorun, basitçe ölçeklememesidir; Belirli bir rolde gittikçe daha fazla kullanıcı kazandıkça, rol değişikliği çok daha zorlaşır. Bunu, bu rolü taşıyan her kullanıcı tarafından yansıtılacak olan izni kaldırmak için söz konusu genel rolünü değiştirmeniz gereken rolleri kullanmakla karşılaştırın.