ABAC

1 基本概念

1.1 定义与含义

ABAC是Attribute-Based Access Control的缩写，中文通常译为“基于属性的访问控制”。它是一种权限管理模型，核心做法不是仅凭用户身份或角色来判断能否访问，而是综合主体、客体、操作和环境等多类属性，按预先设定的策略给出授权结果。由于判断条件较为灵活，ABAC常被用于需要细粒度控制的系统中。

1.2 核心思想

ABAC的核心思想是“按条件授权”。当某个访问请求到来时，系统会检查相关属性是否满足策略要求，例如用户是否属于某部门、资源是否属于某类数据、当前时间是否在允许范围内、设备是否满足安全标准等。若条件成立，则允许访问；若不成立，则拒绝或降级处理。

1.3 适用场景

ABAC适合规则变化频繁、访问边界复杂的环境。常见场景包括企业内部的分级权限管理、跨部门协作、云平台资源管控、共享数据访问、远程办公访问控制，以及需要结合时间、地点和终端状态进行判断的业务系统。它也常用于对敏感信息进行更精细的限制。

1.4 与其他访问控制模型的区别

与RBAC相比，ABAC不只依赖“角色”，而是把属性作为决策核心，因此更灵活，也更容易覆盖复杂规则。与DAC相比，ABAC的控制逻辑通常不完全由资源所有者单独决定，而是由统一策略约束。与MAC相比，ABAC一般不依赖固定标签体系，而是采用可组合的动态属性进行判断，适配性更强。

2 组成要素

2.1 主体属性

主体属性指与访问请求发起者有关的信息，通常包括身份、部门、职位、认证状态、设备信息和行为特征等。它们用于描述“谁在请求访问”，并帮助系统判断该主体是否具备相应权限。

2.1.1 用户身份属性

用户身份属性通常包括用户名、账号类型、员工编号、认证等级、是否通过多因素认证等。这类属性用于确认请求者的身份真实性，并为后续授权提供基础依据。

2.1.2 组织与职位属性

组织与职位属性反映主体在机构中的位置，例如所属部门、岗位级别、项目组归属、上下级关系等。此类信息常用于判断其是否有权访问特定资源，尤其适用于组织结构清晰的企业环境。

2.2 客体属性

客体属性是指被访问对象自身携带或关联的信息，包括资源类型、数据类别、所属系统、密级和生命周期状态等。它们用于说明“访问的是什么”。

2.2.1 资源分类

资源分类通常用于区分文件、数据库记录、服务接口、设备对象或业务单据等不同对象。不同类别的资源可以对应不同的访问规则，从而实现更精确的管理。

2.2.2 数据敏感级别

数据敏感级别用于标识资源的重要程度和保密要求，例如公开、内部、受限或高敏感数据。系统可根据这一属性决定是否允许访问，以及是否需要额外审批、脱敏或审计。

2.3 环境属性

环境属性描述访问发生时的外部条件，具有明显的时效性和动态性。它们常与安全策略绑定，用于应对临时风险或特定业务要求。

2.3.1 时间条件

时间条件包括日期、工作时段、节假日、临时窗口等。某些资源只能在特定时段访问，或者在非工作时间触发更严格的校验。

2.3.2 地点与网络环境

地点与网络环境可包括办公室、指定区域、VPN连接状态、内网外网区别、IP段、设备接入方式等。通过这些条件，系统能够限制异常来源的访问请求，提升整体安全性。

2.4 操作属性

操作属性描述请求者对资源打算执行的动作，如查看、下载、修改、删除、审批、导出等。不同操作对应的风险不同，因此策略往往按操作类型分别设定。

2.4.1 读取权限

读取权限主要对应浏览、查询、预览和下载等动作。对于一般信息，读取可能较为宽松；对于敏感数据，读取也可能要求更高等级的身份验证或限制访问范围。

2.4.2 修改与删除权限

修改与删除通常属于高风险操作，往往需要更严格的条件，例如更高权限、双人审批、特定时间段或特定终端环境。对于关键记录，这类权限往往是受限的。

3 工作原理

3.1 属性收集

ABAC系统首先收集与请求相关的各类属性，来源可能包括身份认证系统、目录服务、资源数据库、设备管理平台和环境监测模块。属性越完整，决策通常越精确，但治理难度也会相应增加。

3.2 策略匹配

在收集属性后，系统将请求信息与预设策略进行匹配。策略一般以条件语句形式描述，判断主体、客体、操作和环境是否同时满足要求。若满足条件，则进入授权决策阶段。

3.3 权限决策

权限决策由决策引擎完成，输出结果通常包括允许、拒绝、需要补充认证或降级授权等。该过程强调可解释性和一致性，避免不同请求因相同条件而得到不同结果。

3.4 访问执行

访问执行是授权结果落地的阶段，系统根据决策结果控制后续动作是否发生，并在必要时对访问过程进行监控、记录或限制。

3.4.1 决策点

决策点负责接收请求、读取属性、执行策略计算，并生成最终判断。它相当于系统的“判断中心”，对授权逻辑起到核心作用。

3.4.2 执行点

执行点负责实际拦截或放行访问请求，将决策结果转化为系统行为。例如，它可以开放接口调用、阻止文件下载，或者对敏感字段进行脱敏展示。

4 策略设计

4.1 策略表达方式

ABAC策略通常以规则、条件表达式或策略语言来描述。常见表达方式包括“如果……则允许”的逻辑句式，也可以采用更结构化的声明式模型，以便机器解析和统一管理。

4.2 条件组合逻辑

策略中的条件往往需要组合使用，常见逻辑包括“与”“或”“非”等。通过不同的组合方式，可以描述复杂场景，例如“用户属于财务部门且当前在工作日并通过双因素认证，才允许查看报表”。

4.3 规则优先级

当多条策略同时适用时，需要设定优先级，以决定哪条规则先被执行。优先级设计通常依据业务重要性、风险等级或策略来源来确定，避免出现混乱的授权结果。

4.4 冲突处理

冲突处理用于解决多条规则之间的矛盾，例如一条规则允许访问，而另一条规则要求拒绝。系统必须预先定义处理机制，才能保证决策稳定。

4.4.1 允许优先

允许优先的方式是：当存在授权规则时，系统倾向于放行访问。它适合较开放的业务环境，但若规则管理不严，可能带来更高的安全风险。

4.4.2 拒绝优先

拒绝优先是更常见的安全策略：只要存在明确拒绝条件，就阻止访问。它适合敏感系统和高安全场景，能够减少误放行的可能。

5 系统架构

5.1 策略管理组件

策略管理组件用于创建、修改、发布和版本控制访问规则。它通常提供可视化配置、模板管理和策略审核功能，方便管理员维护复杂权限体系。

5.2 属性管理组件

属性管理组件负责收集、校验、同步和更新各种属性数据。由于ABAC依赖属性进行判断，因此该组件的准确性和实时性直接影响授权质量。

5.3 决策引擎

决策引擎是ABAC架构中的核心模块，负责根据属性和策略计算访问结果。它需要具备较好的扩展能力，以支持不同业务系统和策略表达方式。

5.4 审计与日志模块

审计与日志模块记录请求来源、决策过程、使用的策略以及最终结果。它有助于事后追踪、合规检查和异常分析，也是权限体系运维的重要组成部分。

5.5 与身份认证系统的集成

ABAC通常与身份认证系统紧密结合。认证系统负责确认“你是谁”，ABAC则进一步判断“你能做什么、在什么条件下做”。这种分工使认证与授权更清晰，也更容易扩展。

6 应用领域

6.1 企业权限管理

在企业中，ABAC可用于控制员工对系统、文档、流程和接口的访问。相比静态角色模型，它更能适应部门调整、项目协作和临时授权等复杂情况。

6.2 云计算安全

云环境资源动态变化快，ABAC可根据实例类型、租户属性、访问来源和安全状态来控制操作权限，因此非常适合云平台的多租户治理和自动化安全管理。

6.3 医疗信息系统

医疗系统中的患者信息、检查结果和诊疗记录具有较强敏感性。ABAC可结合医护人员身份、科室、职责、时间和诊疗关系来限制访问，避免不必要的信息暴露。

6.4 金融业务控制

金融场景中，ABAC常用于交易审批、报表查看、客户资料访问和高风险操作控制。它能够结合岗位、权限等级、交易金额和终端环境进行综合判断，提高业务安全性。

6.5 数据分级保护

数据分级保护强调对不同密级数据采取不同访问措施。ABAC可以依据数据等级、用户资质和访问场景自动执行限制、脱敏或审批流程，便于统一治理。

7 优势与局限

7.1 优势

7.1.1 灵活性

ABAC可以通过修改属性和策略快速适应业务变化，不必频繁重构角色体系。对于规则多变的组织来说，这种灵活性尤其重要。

7.1.2 细粒度控制

ABAC能够将权限细化到具体资源、操作和条件组合，避免“一刀切”式授权。它适合需要精准分权的系统。

7.1.3 易于适应动态环境

由于策略可结合实时环境信息，ABAC对临时风险、移动办公和跨系统访问的适配能力较强，能够支持更加动态的安全决策。

7.2 局限

7.2.1 策略复杂度高

随着属性和规则数量增加，策略设计、测试和维护会变得更加复杂。若缺乏统一规范，容易出现规则交叉、难以理解或难以排查的问题。

7.2.2 属性治理成本

ABAC依赖大量高质量属性数据，因此需要持续维护属性来源、更新频率和准确性。若属性失真，授权结果也可能失去可靠性。

7.2.3 性能开销

在高并发场景下，属性查询和策略计算会带来额外开销。若系统优化不足，可能影响响应速度，因此常需进行缓存、预计算或分层决策设计。

8 实现与标准

8.1 常见实现方式

ABAC的实现方式包括在应用层嵌入授权逻辑、通过统一策略服务进行集中决策，或借助网关与代理层进行拦截控制。不同方式适用于不同规模和复杂度的系统。

8.2 策略语言与描述模型

为了便于表达和交换策略，ABAC常借助标准化策略语言或描述模型。它们可以把授权规则结构化，提升可读性、可移植性和自动化处理能力。

8.3 标准化方向

ABAC的标准化方向通常集中在策略表达、属性交换、决策接口和审计格式等方面。统一接口有助于不同系统之间协同，也能降低跨平台集成成本。

8.4 开源工具与平台

围绕ABAC，业界存在多种开源实现和相关平台，通常提供策略编写、决策服务、属性管理和审计支持等功能。它们常被用作企业自建权限系统的参考或基础组件。

9 相关概念

9.1 RBAC

RBAC是Role-Based Access Control，即基于角色的访问控制。它通过角色映射权限，结构清晰，适合组织较稳定、权限边界相对固定的场景。

9.2 DAC

DAC是Discretionary Access Control，即自主访问控制。其特点是资源所有者对权限分配具有较大决定权，常见于一些通用文件共享或个人控制场景。

9.3 MAC

MAC是Mandatory Access Control，即强制访问控制。它通常依赖统一标签和严格等级规则，控制力度较强，适合高安全要求环境。

9.4 零信任架构

零信任架构是一种安全理念，强调不默认信任任何请求，持续验证身份、设备和环境。ABAC常作为其中的重要授权机制，用于实现动态、细粒度的访问判断。