रोल आधारित एक्सेस कंट्रोल (आरबीएसी)

Question

में सत्र का उपयोग मैं आरबीएसी मॉडल के आधार पर एक्सेस कंट्रोल को समझने की कोशिश कर रहा हूं। मैंने निम्नलिखित लिंक का उल्लेख किया।

NIST RBAC Data Model

मैं स्पष्ट रूप से इस हिस्से से नहीं समझा गया है के रूप में अंश में उल्लेख किया है -

* "प्रत्येक सत्र एक उपयोगकर्ता की मैपिंग संभवतः कई भूमिकाओं, यानी, एक उपयोगकर्ता एक सत्र के दौरान स्थापित करने के लिए है जो उपयोगकर्ता भूमिकाओं के कुछ सबसेट को सक्रिय करता है जिसे वह सौंपा जाता है। प्रत्येक सत्र एक उपयोगकर्ता से जुड़ा होता है और प्रत्येक उपयोगकर्ता एक या अधिक सत्रों से जुड़ा होता है। फ़ंक्शन session_roles हमें सत्र द्वारा सक्रिय भूमिकाएं देता है और फ़ंक्शन user_sessions देता है हमें उपयोगकर्ता के साथ जुड़े सत्रों का सेट। उपयोगकर्ता को उपलब्ध अनुमतियां एसी हैं जो भूमिकाओं को आवंटित अनुमतियां हैं सभी user.s सत्रों में टकरा गया। "*

प्रश्न - भूमिकाओं को सक्रिय करने के लिए सत्र का उपयोग कैसे किया जा सकता है? उपयोगकर्ता/समूह और भूमिकाओं के बीच संबंध व्यवस्थापक डेटा के रूप में डाला जाता है। तो, सत्र उपयोगकर्ता के लिए भूमिकाओं का सबसेट कैसे सक्रिय करता है?

पीएस -> मैंने इस प्रश्न को पहले here से पूछा लेकिन बिना किसी जवाब के पूछा। यह प्रश्न पूछने के लिए बहुत बुनियादी हो सकता है लेकिन मैं इसे समझने के लिए उत्सुक हूं। कोई भी उपयोग केस या एक लिंक निश्चित रूप से सहायक होगा।

आपके समय के लिए धन्यवाद।

Answer 1

आरबीएसी में, प्रशासक उन्हें भूमिका निभाने के द्वारा अनुमति देते हैं, और इसके अलावा उपयोगकर्ताओं को भूमिका निभाने के द्वारा अनुमति देते हैं। जैसा कि आप जानते हैं, किसी उपयोगकर्ता के लिए किसी विशेष अनुमति का उपयोग करने में सक्षम होने के लिए, उसे कम से कम एक भूमिका नियुक्त करनी होगी जो समाधान प्रदान करती है।

इसलिए प्रत्येक उपयोगकर्ता के पास उसे नियुक्त भूमिकाओं का एक सेट होता है। एक सत्र के दौरान, वह इनमें से किसी भी भूमिका को सक्रिय (या निष्क्रिय) करने का विकल्प चुन सकता है, लेकिन कोई अन्य नहीं। सक्रिय भूमिकाएं निर्धारित करती हैं कि सत्र के दौरान किसी दिए गए समय पर उपयोगकर्ता को कौन सी अनुमतियां उपलब्ध हैं। यह उपयोगी है, उदाहरण के लिए, कर्तव्य बाधाओं के गतिशील पृथक्करण के लिए, जहां एक ही उपयोगकर्ता यू को दो भूमिकाएं आवंटित की जा सकती हैं, लेकिन एक साथ उपयोग नहीं किया जा सकता है। इसलिए, यदि यू ए का उपयोग करना चाहता है, तो उसे ए

Answer 2

सक्रिय करने से पहले बी को निष्क्रिय करना होगा, आरबीएसी को लागू करने में मेरे अनुभव से, मैंने बहु-सत्रों के गतिशील प्रबंधन का उपयोग करके बहुत अधिक बचाया।

सबसे पहले यह एक सुंदर साफ और लचीला विचार की तरह लग रहा था, लेकिन जैसा कि आपने सवाल किया कि कौन भूमिकाओं को सक्रिय/निष्क्रिय करता है (और कब), मुझे एहसास हुआ कि जटिलता और सुरक्षा जोखिम प्रयास (मेरी व्यक्तिगत राय) के लायक नहीं थे।

महत्वपूर्ण बात यहाँ समझने के लिए और जिसके लिए @Imontriux (ऊपर) का उल्लेख किया:

"यह उपयोगी है, उदाहरण के लिए कर्तव्य की कमी के गतिशील जुदाई, जहां दो भूमिकाएं ए और बी हो सकता है के लिए, उसी उपयोगकर्ता को यू को असाइन किया गया है, लेकिन इसका उपयोग नहीं किया जा सकता है। इसलिए, यदि यू ए का उपयोग करना चाहता है, तो वह को सक्रिय करने से पहले बी को निष्क्रिय करना होगा। "

अधिकांश समय, कर्तव्य बाधाओं को अलग करना होता है जो लागू होना चाहिए और इसका सम्मान करने के लिए, मैंने बस एक समय में प्रति उपयोगकर्ता एक वैध सत्र का प्रबंधन/प्रबंधन करना चुना है। यदि कोई उपयोगकर्ता भूमिकाओं के विभिन्न सेट के तहत प्रमाणित करना चाहता है, तो वह लॉग इन करने और वापस लॉग इन करने में ज़िम्मेदार है।

यह मेरे बहुत सारे कोड को बहुत सरल बना देता है। यह एक समझौता था जिसे मैंने चुना था और आसानी से साथ रह सकता था।