Вопросы, связанные с внедрением RBAC

У меня есть несколько вопросов, связанных с RBAC (модель найма). Ниже приведены сценарии

Предположим, у меня есть три роли, одна родительская роль и три разных типа разрешений.

Родительская роль: руководитель филиала. Дочерние роли: сберегательный менеджер, кредитный менеджер и бухгалтер. Разрешения: сохранять, удалять, просматривать

Q1: Может ли дочерняя роль быть унаследованной двумя или более ролями, т. е. Предположим, что роль бухгалтера подотчетна и управляющему сбережениями, и управляющему ссудой с разными обязанностями - например, менеджер по сбережениям получает отчет от бухгалтера по клиенту ценных сберегательных счетов, а менеджер по ссуде получает отчет от бухгалтера по крупным кредитам, взятым клиентами

Разрешена ли эта модель или нам нужно иметь что-то вроде сберегательного бухгалтера и кредитного бухгалтера в зависимости от их обязанностей?

Q2: если Q1 действителен, то как мне отказать в разрешении, связанном с ссудой (постоянная ссуда, удаление ссуды, просмотр сведений о ссуде), управляющему сбережениями, но разрешить управляющему ссудой и наоборот для получения разрешения, связанного с сбережениями.

Q3: предположим,

У бухгалтера нет разрешения на удаление записи сбережений. У менеджера сбережений есть разрешение на удаление записи сбережений. У менеджера ссуды нет разрешения на удаление записи сбережений.

Что теперь происходит с ролью менеджера банка (удаление сберегательной записи не определено). получит ли менеджер банка разрешение на удаление сберегательной записи. позволяет получить приоритет над запретом или наоборот, или мне нужно написать правила (которые будут предшествовать) для того же.

Есть еще несколько вопросов, которые я задам позже

Спасибо, Альберт Арул Пракаш


authentication c# security rbac
person Albert Arul prakash    schedule 29.12.2011    source источник

Ответы (1)


arrow_upward
1
arrow_downward

Разрешена ли эта модель?

При аутентификации на основе ролей субъект выполняет одну или несколько ролей. Вы можете разделить вещи на роли, как вам нравится - моделирование ролей на основе наследования или нет.

Критерии, которые вы должны использовать, чтобы решить, у кого какие роли

  1. дает хорошим действующим лицам силу, необходимую им для выполнения своей работы, в то же время оставляя плохих участников с минимальным количеством избыточных полномочий, которыми злоупотребляют.
  2. хорошо сочетается с лесозаготовками, так что злоупотребление властью может быть расследовано
  3. достаточно легко понять, так что злоумышленники не могут правдоподобно отрицать ответственность за злоупотребление властью
  4. допускает достаточное делегирование, чтобы у менеджеров не возникало соблазна делиться учетными данными для выполнения работы

Единственное правило при разработке системы RBAC, которое вы никогда не должны нарушать (помимо назначения разрешений ролям, а не пользователям), заключается в следующем: субъект не может повышать привилегии, принимая на себя меньше ролей, чем разрешено. Человек, которому разрешено выступать в качестве менеджера банка и бухгалтера, не должен иметь больше полномочий, если он может убедить систему в том, что он бухгалтер, но не менеджер банка, или наоборот. Отрицательные разрешения затрудняют рассуждение и вводят странные угловые случаи - просто избегайте их.

person Mike Samuel    schedule 29.12.2011