基于资源的RBAC实现思路

Question

我需要在我的应用程序中实现一个非常复杂的 RBAC 模型。 它非常类似于 Azure RBAC：https://docs.microsoft.com/en-us/azure/role-based-access-control/overview

让我用一个例子来解释一下：

假设我有一个资源类型：server_group。

然后我有角色：

1. admin（可以在 server_group 上执行 CRUD + 其他权限）
2. editor（可以在 server_group 上执行 RU + 其他权限）
3. viewer（只能Rserver_group+其他权限）

这些角色是租户范围的角色：这里的操作范围是当前用户注册所在的组织。

这是为资源类型分配角色权限的传统模型。

但是，如果您需要向具有viewer 角色但在资源类型的特定实例范围内的特定用户授予更多权限怎么办？

Mark 是管理员，他创建了一个server_group sg1，他想将server_group_editor 的角色分配给拥有viewer 租户范围角色的Alice。

server_group_editor 角色有一个适用范围：server_group。

server_group_editor 添加了更新server_group 资源类型的功能。

由于 Alice 在 sg1 实例中具有 server_group_editor 的角色，因此她现在可以编辑此资源。

以前她不能这样做，因为她的租户范围的权限只允许她列出所有服务器组。

我希望这是有道理的。

话虽如此，我很想知道是否有产品支持这种灵活的 RBAC 模型，无论是 SaaS 还是可以作为独立服务部署的应用程序？

我正在查看 Auth0、Okta、KeyCloak，但我看不到它们支持这个模型。

提前致谢！

Answer 1

我们在我工作的公司遇到了类似的问题。

我们使用 Auth0，但内置的角色/权限功能并不能完全满足我们复杂的细粒度 authZ 要求 - 基本上，我们需要能够处理可能属于一个或多个组的用户，但每个组的不同权限。我们可以通过在app_metadata 中存储一个复杂的权限结构，然后将其附加到用户访问令牌（通过 Auth0 规则）来解决这个问题，但我们预计这会变得笨拙......

我们通过构建内部“权利”微服务并在我们这边持久化一些访问控制数据（即用户、组、角色和权限）来解决这个问题。

这是一个高级图表：

当用户注册时（使用与“IdpFacade”微服务对话的 Auth0 自定义通用登录页面），我们将事件发布到消息代理（Azure 服务总线）。此事件触发在“访问控制”数据存储中创建用户（以及初始组、角色、权限关联）。 注意：我们也可以通过 API 更新这个数据存储（例如，如果我们想动态地为用户分配额外的角色/权限）。

当用户向启用授权的微服务发出请求时，我们会将细粒度的 authZ 决策推迟到授权服务。授权服务首先从数据存储中查询用户角色/权限（基于 JWT 主题，本质上是来自 Auth0/IDP 的用户标识符）。然后，我们使用 Overload input 模式将此信息与 HTTP 方法、URI / 资源路径和（可选）附加元数据（以键值对的形式）一起传递到 Open Policy Agent（又名 OPA）。 OPA 在名为 Rego 的 DSL 中定义所有 authZ 策略并进行决策。

'entitlement' 服务的响应基本上是一个单独的字段，用于指示是否应允许或拒绝访问。如果 allow 为 false，启用授权的微服务将返回 HTTP 403。供参考。我们在 .NET Core 中构建了一些样板来简化对权利的调用。这是一个例子：

[HttpPost]
[CheckEntitlement()]
public async Task<IActionResult> PostAsync(

注意：在属性中我们可以指定策略名称，以及（可选）元数据。

这种方法的优点：

• 简化的 IDP 实施
• 微服务中的简化 authZ 逻辑，例如他们不需要了解复杂的 authZ 层次结构/要求，只需调用权利即可。
• 解耦架构 - 无需接触微服务即可更新 authZ 策略。
• 实时 authZ 即可以更新角色/权限，并且更改将是即时的，而 JWT 中的权限在 JWT 到期之前一直有效。

我可能应该写一篇关于这种方法的详细博客，因为我认为这是一种非常好的方法（尽管最初需要做一些工作）。