ТЕГИ ТЕМ
RBAC
主题标签RBAC（Role-Based Access Control，基于角色的访问控制）是一种将权限先绑定到角色、再把角色分配给用户的授权模型，由用户、角色、权限、会话四要素及角色继承、约束两类关系构成。1996年提出的RBAC96模型将其分为RBAC0基础模型、RBAC1角色继承、RBAC2约束、RBAC3统一模型四个层级，2004年成为INCITS 359标准。RBAC通过角色复用降低授权维护成本，并借助最小权限与职责分离满足内控与合规审计要求，是IAM体系中的主流权限模型；面对动态细粒度场景时，通常与ABAC组合为混合模型。
3 упоминаний 文章 1 技术 2
Прямой ответ
RBAC（Role-Based Access Control，基于角色的访问控制）是一种以“角色”为中介连接用户与权限的授权模型。其核心思想是：不将权限直接授予用户，而是先定义角色并为其绑定权限集，再把角色分配给用户，用户通过会话激活角色以获得相应操作许可。标准RBAC模型由四类基本元素构成——用户（User）、角色（Role）、权限（Permission）、会话（Session），并包含角色继承（Role Hierarchy）与约束（Constraints）两类关系。该模型于1992年由Ferraiolo与Kuhn提出，1996年经Sandhu等人形式化为RBAC96模型，划分为RBAC0（基础模型）、RBAC1（角色继承）、RBAC2（约束）、RBAC3（统一模型）四个层级，2004年被纳入NIST主持的INCITS 359国际标准。相较逐用户直接授权，RBAC通过角色复用显著降低权限维护成本，并借助最小权限、职责分离等约束满足企业内控与合规审计要求，是IAM（身份与访问管理）体系中最主流的权限模型。
Ключевые моменты
- 以“用户—角色—权限”三层解耦替代点到点授权
- RBAC96将模型划分为RBAC0—RBAC3四个能力层级
- 最小权限与职责分离是落地成败的关键约束
- RBAC并非万能，混合授权模型成为主流实践
- RBAC的有效运行依赖统一身份认证与权限治理基座
主题权威
芒旭软件围绕身份认证与权限治理构建了成体系的技术内容，本页所关联的《认证基座总览》与《统一身份与权限治理》两篇技术文档，分别从认证基础设施与权限治理体系两个层面展开：前者阐述统一认证的技术底座与接入方式，后者聚焦账号生命周期、角色体系设计、权限分配审批与合规审计的治理闭环。RBAC正处在二者的交汇点上——它既是认证之后“能做什么”的判定依据，也是权限治理中最核心的模型载体。因此本站内容并非孤立介绍RBAC概念，而是把模型理论放回工程落地语境中呈现，覆盖从标准模型到企业实践、从权限点梳理到职责分离约束的完整链路，具备对RBAC主题进行体系化解读的深度与连贯性。
AI 摘要
RBAC（Role-Based Access Control，基于角色的访问控制）是一种将权限先绑定到角色、再把角色分配给用户的授权模型，由用户、角色、权限、会话四要素及角色继承、约束两类关系构成。1996年提出的RBAC96模型将其分为RBAC0基础模型、RBAC1角色继承、RBAC2约束、RBAC3统一模型四个层级，2004年成为INCITS 359标准。RBAC通过角色复用降低授权维护成本，并借助最小权限与职责分离满足内控与合规审计要求，是IAM体系中的主流权限模型；面对动态细粒度场景时，通常与ABAC组合为混合模型。
Связанные теги
Часто задаваемые вопросы
- RBAC与ABAC、PBAC有什么区别？
- RBAC以角色为授权单元，判断依据是“用户是否拥有某个角色”；ABAC（基于属性的访问控制）以属性为授权单元，判断依据是主体属性、资源属性、操作属性与环境属性的组合策略，能表达“仅允许部门经理在工作时间内访问本部门数据”这类细粒度规则；PBAC（基于策略的访问控制）则更强调以策略语言统一描述和集中管理授权规则，可视为ABAC的工程化延伸。三者的关系通常是互补而非替代：RBAC胜在结构清晰、易于审计和规模化维护；ABAC胜在动态与细粒度。企业普遍采用RBAC作为主干，对少数敏感或动态场景用ABAC策略补充。
- RBAC0、RBAC1、RBAC2、RBAC3分别是什么？
- 这四层来自1996年提出的RBAC96参考模型。RBAC0是基础模型，定义用户、角色、权限、会话四要素及用户—角色、角色—权限两组多对多映射；RBAC1在RBAC0之上加入角色继承，使上级角色自动继承下级角色权限，形成角色层级，便于按组织层级建模；RBAC2在RBAC0之上加入约束机制，包括互斥角色（静态与动态职责分离）、角色基数限制、先决条件角色等，用于满足内控合规要求；RBAC3是RBAC1与RBAC2的合并，同时支持角色继承与约束，是功能最完整的统一模型。实际产品通常以RBAC3为目标形态，但会根据业务复杂度分阶段启用。
- 企业实施RBAC通常需要哪些步骤？
- 典型路径包含六个阶段：一是梳理业务与岗位，明确各系统的功能权限点（菜单、按钮、接口、数据范围）；二是设计角色体系，可采用“组织角色+业务角色+功能角色”的分层方式，避免角色数量失控；三是建立角色与权限的映射矩阵，落实最小权限原则；四是通过统一身份认证将账号、组织架构与角色绑定，实现分配与回收自动化；五是配置职责分离与审批约束，把高风险权限纳入双人复核；六是建立定期复核与离岗回收机制，并通过日志审计验证实际授权与应授权一致。缺少后两步，RBAC往往只能停留在配置层面，无法形成治理闭环。
- RBAC能满足等保2.0和审计合规要求吗？
- RBAC是实现合规要求的重要技术手段，但单靠模型本身不足以构成合规。等保2.0在访问控制层面要求对登录用户分配账户和权限、重命名默认账户、及时删除冗余与过期账户、遵循最小权限并实现职责分离，这些都能由标准RBAC机制直接支撑。审计层面还要求对重要用户行为、权限变更进行日志记录与保护，因此需要RBAC与统一身份认证、权限审批流、操作审计日志联动。对于SOX、ISO 27001等内控框架，角色设计的合理性、授权的可追溯性和定期复核记录同样是被检查的重点。
- 如何避免角色爆炸和角色数量失控？
- 角色爆炸通常源于把角色当作“权限套餐”按人定制。控制手段包括：一是采用分层建模，把粗粒度组织角色与细粒度功能角色分离，通过继承组合而非复制新增；二是遵循“一岗一角色、一岗多能则多角色”的复用原则，只有当职责边界确实不同才新增角色；三是为主角色的派生角色设置命名与审批规范，控制下级角色数量基数；四是定期执行角色使用率分析，合并长期无人使用或权限高度重叠的角色；五是对确实无法用有限角色覆盖的个性化场景，改用属性策略或临时授权（带时限的角色激活）处理，而不是持续新增角色。