12、RABAC：以角色为中心的基于属性的访问控制

RABAC：以角色为中心的基于属性的访问控制

1. 引言与动机

基于角色的访问控制（RBAC）是一种商业上占主导地位且广泛使用的访问控制模型。在该模型中，访问权限被分配给角色，角色再分配给用户，并且角色可以根据系统需求的变化进行创建、修改或禁用。

然而，传统的RBAC在处理细粒度访问控制时效率低下。为了实现细粒度授权，往往需要大幅增加具有略有不同权限集的不同角色数量，这会导致角色爆炸问题。例如在医院场景中，医生只能查看自己患者的记录，按照NIST RBAC模型，需要为每个患者分别定义一个医生角色，这使得角色数量急剧增加，且这些角色大多共享相同的权限。

为了解决这些问题，研究界提出了多种对RBAC的扩展。最近，NIST宣布了一项将角色与属性集成的倡议，旨在统一和标准化各种RBAC扩展，结合RBAC和基于属性的访问控制（ABAC）的优势。Kuhn等人确定了三种将属性集成到RBAC中的替代方案：
- 动态角色 ：使用用户和上下文属性动态地为用户分配角色，类似于基于属性的用户 - 角色分配，但无法解决角色 - 权限分配爆炸的问题。
- 以属性为中心 ：将角色视为用户的另一个属性，这种方法在很大程度上放弃了RBAC已被充分证明和成熟的优势。
- 以角色为中心 ：每个会话中可用的最大权限由激活的角色决定，并可根据属性进一步减少，但目前缺乏相关的正式模型。

本文提出了以角色为中心的基于属性的访问控制（RABAC）模型，该模型通过权限过滤策略扩展了NIST RBAC模型，克服了角色爆炸问题，同时与NIST RBAC模型无缝集成。 </