在你的组织中人员会不断进出，而留在组织中的人员也会通过晋升和调动在组织内部流动。然而，基本的组织结构却相对稳定：客户支持专员、销售代表、人力资源经理和软件开发人员代表着长期存在的职能角色，即使具体员工在这些岗位之间轮换。这种组织层面的稳定性为确保每个人在其任职期间始终拥有恰当的访问权限提供了完美的基础：基于角色的访问控制（role-based access control，RBAC）。本文将探讨 RBAC 是什么、它与其他模型的区别，以及它的优势与挑战。
精选相关内容：
快速了解 RBAC
让我们来定义 RBAC。基于角色的访问控制（RBAC）是一种安全模型，它根据预先定义的用户角色来授予或限制系统访问权限，而不是基于单个身份。当员工进入某个角色时，他们会通过被分配相应角色来继承所需的访问权限。
RBAC 的概念可以追溯到 1990 年代初期。当时，美国国家标准与技术研究院（NIST）的研究人员提出了一个利用角色来分配权限的模型。到了 2000 年代初，这项早期工作最终形成了标准化框架。
RBAC（基于角色的访问控制）已成为跨行业实施安全、可扩展的访问管理的重要基石。但它并不是分配权限的唯一方法。下面是其他常见模型：
- 强制访问控制（MAC） 由中心权威制定并强制执行严格、预先定义的规则。例如，该模型常用于军队安全许可等高安全场景。
- 自主访问控制（DAC） 是一种分散式模型，允许资源所有者和文件创建者决定谁可以获得访问权限。
- 基于属性的访问控制（ABAC） 是一种高度细粒度的模型，会根据用户位置、一天中的时间以及设备特征等属性来授予访问权限。
- 基于关系的访问控制（ReBAC） 关注用户与资源之间的关系，因此非常适用于灵活、协作的环境。
基于角色的访问控制（RBAC）的优势
了解更多基于角色的访问控制（RBAC）如何工作
RBAC 使用户访问权限的管理具备可扩展性、可审计性和安全性。具体工作方式如下：
- 组织会定义一组与组织中具体岗位相匹配的 RBAC 角色。
- 每个角色都会获得执行其工作所需的访问权限。
- 当个人加入组织或更换团队时，会为其分配相应的角色，并继承对应的 RBAC 权限。
RBAC 的示例包括：财务部门的一名员工被分配“Accountant（会计）”角色，另一名员工被分配“Financial Director（财务总监）”角色。两者将继承不同的一组权限。例如，在零售环境中，“Store Manager（店铺经理）”角色可能包含退款审批和销售报表访问权限，而“Cashier（收银员）”角色则仅限于交易处理。
当用户登录系统时，其已分配的一个或多个角色会被激活，然后系统会将这些角色映射到相应的权限。这个过程称为会话映射（session mapping）。
RBAC 模型及其层级
随着时间的推移，RBAC 模型已发展为多种变体，以满足不同组织的独特需求以及监管要求。下面介绍三种主要的 RBAC 模型：
- 核心 RBAC（Core RBAC）：这是已经描述过的基础模型：定义角色并授予各种权限，同时每个用户会被分配到相应的角色。该模型非常适合规模较小、岗位职能清晰且互不重叠、职责冲突风险较低的组织。
- 分层 RBAC: 角色层级引入了角色继承，即上级角色会继承下级角色的权限。该模型适用于需要为高级员工提供更广泛访问权限的大型组织，也适用于快速成长的初创企业——在这类环境中，员工往往能迅速晋升并增加职责。
- 受限 RBAC: 该模型通过“职责分离”（SoD）这一形式增加防护措施，以帮助防止利益冲突或欺诈。例如，财务团队中不应由同一人同时既创建发票、又批准该发票的付款。添加这些约束在金融、医疗和政府等高度监管的行业中可能至关重要。
设计安全的 RBAC 架构
设计安全的 RBAC 架构对于贯彻 最小特权原则并最大程度降低 内部威胁 至关重要。让我们先来看看构建恰当的基于角色的访问控制框架所包含的四个组成部分：
- 角色：为用户分配的工作职能
- 权限：允许在不同资源上执行的操作
- 会话：用户通过 RBAC 身份验证后角色被启用的过程
- 约束：旨在防止滥用的规则
权限映射会将特定操作有策略地关联到角色。你可以根据需求以更宽泛或更细粒度的方式映射权限。
在包含角色层级的 RBAC 系统中，上层角色会自动继承下层角色的权限。务必谨慎使用层级结构，避免权限范围意外扩散。
RBAC 的实际应用与示例
RBAC 在企业环境中尤其有益：它在减轻 IT 部门负担的同时，降低了配置（provisioning）错误的风险，并增强了可审计性。在 SaaS 环境中，RBAC 用于强制租户隔离：每个租户都可以定义自己的角色，从而让用户只能访问与其特定租户和岗位角色相关的资源。
不要只把 RBAC 视为仅对文件实施最小权限（least privilege）的手段。在像 SQL Server 和 Oracle 这样的数据库中，RBAC 用于控制谁可以在表（table）和模式（schema）级别读取、写入或修改数据。RBAC 还可以应用于 Kubernetes 环境，用于定义用户、组或服务账号在集群资源上可以执行哪些操作。诸如 Netwrix Identity Manager 之类的解决方案也能与 Azure 和 AWS 集成，从而保护云中的数据和工作负载。
实施 RBAC 的好处
在当今以数据为驱动、快速变化的组织中，RBAC 访问控制带来显著的收益：
- 更强的安全性： RBAC 会最大限度地减少攻击面，因为用户只能使用其特定角色所需的权限，并遵循最小特权原则。
- 简化用户的分配与撤销：现代的 RBAC 系统可简化入职与离职流程。
- 更轻松的合规性：RBAC 支持遵从诸如 GDPR 以及 HIPAA 等法规，因为它提供了清晰且可审计的框架，用于管理访问权限。
- 可扩展性： 采用 RBAC 的方式可以方便地添加、修改和删除角色，并在组织规模扩大和岗位职能变化时，将角色分配给合适的用户。
RBAC 的挑战与局限
尽管基于角色的访问控制（RBAC）安全性带来了明显的优势，但它也伴随着一些挑战，尤其是在复杂且快速变化的企业环境中：
- 角色爆炸: 随着组织规模不断扩大，角色数量可能会显著增加，从而提高权限重叠或冲突的风险。
- 难以实现细粒度的访问控制: RBAC 缺乏进行基于用户属性或时间窗口等因素的访问控制所需的粒度。在这些情况下，基于属性的访问控制（ABAC）或基于策略的访问控制（PBAC）可能更合适。
- 大型组织中的复杂性: 在包含多个部门、地区和业务单元的组织中定义和维护角色，需要持续的治理与审查。
从风险到解决方案：在 Active Directory 中委派权限
了解更多RBAC 部署的最佳实践
为了最大化 RBAC 实施的效果，请务必遵循以下最佳实践：
- 根据业务需求定义角色。 根据组织中的实际岗位职能与职责来规划角色。邀请部门负责人参与，确保每个角色的访问权限能够反映真实的工作流程。
- 让角色粒度保持在可管理范围内。关键在于在角色过少与过多之间取得平衡。过于宽泛的角色可能导致权限过度与安全风险；而过度细分的角色可能引发角色激增，使管理和审计变得十分繁重。在可能的情况下，将相似的岗位职能归并，并使用分层角色来简化管理。
- 实施定期的角色审查。 安排定期审计，以检查角色及其权限、用户与角色的分配情况以及用户活动。留意未被使用的角色、过度的特权，以及其访问权限不再符合岗位职能的用户。
- 使用为特定用途而构建的工具。 自动化可以显著加快账号/资源的创建与回收流程，保持一致性，并将人为错误降到最低，从而增强 RBAC 网络安全。
如何成功实施 RBAC
要充分发挥 RBAC 的优势，请按以下步骤操作：
- 首先盘点所有资源以及用户可能需要对其执行的操作。资源可能包括文件、服务、应用程序、数据库、SaaS 平台以及 Kubernetes 集群。示例操作包括读取（read）、执行（execute）、修改（modify）和删除（delete）。
- 分析组织的结构，并将具有相似访问需求的用户归类到相应的角色中。请务必避免角色数量迅速膨胀（role explosion）以及权限重叠（overlapping permissions），如前文所述。
- 为每个角色授予其履行工作职责所需的最小权限集合。
- 将已定义的角色分配给相应的安全组；如有必要，也可分配给单个用户账号。
在将任何新模型或更新模型部署到生产环境之前，请务必先在测试环境中进行测试。通过模拟真实世界的场景来验证：权限是否得到正确强制执行、用户是否能够履行其职责，以及是否不会授予过度的访问权限。
此外，实施强有力的活动监控，以标记 RBAC 授权问题以及 权限提升 通过篡改角色权限或角色分配进行的尝试。
用于 RBAC 管理的工具和软件
如今市场上有众多 RBAC 解决方案可供选择。开源工具提供了一个选项。例如，广受欢迎的开源容器解决方案 Kubernetes 配备了强大的内置 RBAC 系统，用于控制对集群资源的访问。还有一些工具是专门为需要具有成本效益方案的中小企业（SMB）设计的。
对于需要企业级能力的组织，商业选项包括 Okta 和 SailPoint 等行业领先者，以及与 Azure 资源管理器（Azure Resource Manager）无缝集成的 Azure RBAC。
一些身份与访问管理（IAM）平台会将 RBAC 集成到其面向本地（on-prem）和基于云的系统解决方案中。一个经典示例是 Netwrix Identity Manager（原 Usercube），这是一款全面的身份治理与管理（IGA）解决方案，具备强大的 RBAC 能力，包括：
- 基于岗位职能的角色定义与管理
- 通过基于角色的分配（provisioning）与回收（deprovisioning）实现自动入职
- 精细调优的权限映射，支持最小特权访问
- 与业务需求和合规要求保持一致
通过策略与自动化扩展 RBAC
尽管传统 RBAC 对许多组织而言十分有效，但不断演进的 IT 环境需要更高的灵活性和自动化。例如，许多组织正在通过诸如 ABAC 之类的基于策略、具备上下文感知的机制来扩展 RBAC。该混合方法会在角色分配中引入基于属性的条件逻辑，例如时间限制和位置访问。
如今，企业正在提供角色型访问控制作为服务（RBACaaS）。这些基于云的解决方案让组织能够在摆脱复杂性的同时获得可扩展性。它们通常提供 API 或基于 Web 的仪表盘，管理员可以在其中创建 RBAC 规则，并部署策略以实现集中式控制与治理。
网络安全框架中的 RBAC
RBAC 是全面、现代安全策略的重要组成部分。通过将权限与用户角色关联，RBAC 能以以下方式加强不同 IT 环境的安全性：
- 通过将用户限制为仅能访问特定角色的资源，从而强制实施最小权限访问
- 直接支持Zero Trust 安全模型。该模型要求对每一次请求都基于严格的身份与上下文校验进行评估，而不是在初次认证之后就授予“无条件”的访问权限
- 支持CIA triad 的核心原则（机密性、完整性和可用性）
- 可与更广泛的安全控制相结合，例如组织安全策略以及 data classification 和加密技术
将 RBAC 与其他访问控制模型进行比较
访问控制并不存在“一刀切”的通用方案。以下是一些指导原则，帮助你为组织的特定需求找到合适的方案。
RBAC vs ACL
访问控制列表（ACL）通过将权限直接附加到资源来工作。它们明确说明哪些用户可以访问特定对象，以及他们被允许对这些对象执行哪些操作。当你需要大量例外或自定义权限时，ACL 会很有帮助；但随着组织规模扩大，它们可能会变得难以管理。
相比之下，RBAC 会根据明确定义的岗位职能为角色分配权限，用户则继承其被分配到的角色所拥有的权限。 这种结构化的方法特别适合拥有清晰、稳定的岗位职责以及组织层级的组织。
RBAC 与 ABAC
ABAC 会基于动态属性来做访问决策，从而实现更细粒度且具有语境的控制。然而，这种灵活性也意味着在策略定义和管理方面会带来更高的复杂度。
RBAC 在访问需求可预测的稳定环境中表现出色；而 ABAC 更适合动态或高安全性的场景，在这些场景中，语境因素确实至关重要。
另一种选择是混合方法：使用 RBAC 来处理基础访问权限，并将 ABAC 原则应用于更敏感的系统。这样既能在整体上保持简洁的基础，又能在关键处实现精确控制。
现实中的基于角色的访问控制（RBAC）使用案例
RBAC 在全球范围内被广泛使用。RBAC 作为流行网站 GitHub 的“隐形守门人”，在这里团队可以为成员分配 Admin、Write 或 Read 等角色，以控制谁可以推送代码或查看项目。在许多数据库平台中也能看到同样的做法。Red Hat 的 OpenShift 使用 RBAC 来管理容器化工作负载中的用户访问。其他利用 RBAC 的平台还包括 Frontegg 和 Auth0。
RBAC 对许多受监管行业至关重要，例如医疗行业。在医疗行业中，医院使用 RBAC 来保护患者数据，并保持符合 HIPAA 的要求。银行使用角色来实现权限隔离：允许担任出纳（Teller）角色的人处理存款，但不允许他们像担任贷款专员（Loan Officer）角色的用户那样批准贷款。政府机构依赖 RBAC 来保护机密信息，并执行严格的审批/许可等级。
Netwrix Identity Manager
Netwrix Identity Manager 是一款基于 SaaS 的 IGA 解决方案，可将身份管理集中化、简化并实现自动化。特别是，它使您能够借助 RBAC 依据预定义的角色轻松分配访问权限，也就是说，每位用户都能在恰当的时间访问恰当的资源。
对于需要更细粒度访问控制的场景，Netwrix Identity Manager 使您能够创建 ABAC 策略，综合考虑用户位置、访问时间和数据敏感度等属性，从而做出实时访问决策。 例如，“医生（Doctor）”这一角色可能会在正常运作期间将病历访问限制为指定患者，但在紧急情况下可以临时扩展权限。 这种混合方法让您同时获得两全其美的效果。 因此以及更多原因，Netwrix 被评为 IGA 市场的 Innovation and Product Leader。
关于 RBAC 的常见问题
RBAC 在安全领域中的目的是什么？
RBAC 通过根据用户的工作角色来分配权限，从而简化访问管理，而不是对每个用户的权限进行逐一管理。 这种方法可最大限度地减少人为错误，并使严格执行最小特权原则变得更加容易。
组织应该使用多少个角色？
组织应使用的角色（roles）数量取决于其规模、组织结构以及安全需求。虽然小型公司可能只有 10–20 个角色，但具有复杂岗位职能的大型企业可能需要数百甚至数千个角色。关键在于在安全与效率之间取得平衡：角色过少可能导致权限过度，而角色过多则可能变得难以管理。
RBAC 能与其他模型结合使用吗？
可以。基于角色的访问控制（role-based access control）可以与基于属性的访问控制（attribute-based access control，ABAC）以及强制访问控制（mandatory access control，MAC）等其他模型结合使用。例如，组织可以使用 RBAC 根据角色分配权限，再使用 ABAC 添加规则，以检查诸如位置或设备类型等上下文属性。通过这种混合方式，可以实现最小权限（least privilege）访问，并能适应不断变化的安全需求。
最终思考：RBAC 适合贵组织吗？
在本文中，我们给出了 RBAC 的定义，并探讨了为什么这种安全方法在当今如此重要。如今还有其他访问控制模型以及多种解决方案可供选择，因此关键在于确定哪些选项最适合您的安全策略。由于技术和威胁方法论不断演进，您需要确保所提出的解决方案具备灵活性，并具备面向未来的可持续性。选择一套能够在时间推移中与贵组织共同成长、不断进化的方案。
Netwrix Identity Manager
常见问题 (FAQs)
网络安全中的 RBAC 是什么？
基于角色的访问控制（Role-based access control，RBAC）是一种网络安全框架，用于根据组织内分配的角色来规范访问权限。与其直接向个人用户授予权限，RBAC 会将权限分配给角色，以确保更高的一致性与安全性。
RBAC 代表什么？
RBAC 代表 role-based access control。
RBAC 是什么？
基于角色的访问控制（Role-based access control，RBAC）是一种安全模型：用户的访问权限并非直接分配给单个用户，而是从预定义的角色继承。组织定义一组角色，为每个角色授予相应的权限，并为每个用户分配其所需的角色或角色集合。这种做法与组织自然运作的方式相一致。
RBAC 的三条主要规则是什么？
RBAC 遵循三条主要规则，以便有效管理访问：
- 用户只有在被分配了已授予该权限的角色之后，才能行使该权限。
- 应只为每位用户分配其完成工作所需的角色，这样就不会有人拥有过多的权限。
- 用户只有在该权限已被授权给其当前启用的角色时，才能行使该权限。
访问控制的4种类型是什么？
访问控制的四种主要类型是：
- 基于角色的访问控制（RBAC）：权限与工作角色绑定。
- 强制访问控制（MAC）：由中央权威机构制定严格规则，例如军事指挥部门。
- 自主访问控制（DAC）：资源或文件所有者决定谁可以访问。
- 基于属性的访问控制（ABAC）：访问基于用户位置、访问请求时间等属性。
RBAC 和 ABAC 有什么区别？
RBAC（基于角色的访问控制）仅根据组织内预定义的角色来分配权限。ABAC（基于属性的访问控制）会考虑用户的属性、资源属性、环境条件以及其他上下文因素，以控制访问。
RBAC 的四种模型是什么？
四种 RBAC 模型如下：
- Core RBAC：在这一基础模型中，会为角色授予特定权限，并将用户分配到相应角色。
- Hierarchical RBAC：该模型通过加入角色层级来扩展 Core RBAC，使角色之间能够继承权限。
- 受约束的 RBAC：该模型通过实现职责分离（SoD），帮助确保用户不会拥有相互冲突的角色，从而避免产生可能导致安全风险的情况。
- 对称式 RBAC：这是一个更全面的模型，它在保持 RBAC 原则的同时，允许动态分配角色-权限。
基于角色的访问控制（Role-Based Access Control）仍然是现代 IT 环境中管理访问权限最实用、最可靠的方法之一。通过将权限直接绑定到组织角色，RBAC 能降低风险、简化合规工作，并优化用户生命周期管理。尽管如此，当 RBAC 与“以身份为中心”的安全策略和自动化结合时，价值才会最大化。 Netwrix Identity Manager 能帮助你实现这种平衡——支持基于角色的自动配给、强制执行最小权限，并在需要动态上下文时借助 ABAC 支持混合模型。最终结果是更强的安全性、更轻松的审计，以及你始终能确信团队成员在恰当的时间拥有恰当的访问权限。
分享到
了解更多
关于作者
Tyler Reese
产品管理副总裁，CISSP
凭借在软件安全行业超过二十年的经验，Tyler Reese 对当今企业面临的快速演变的身份与安全挑战非常熟悉。目前，他担任 Netwrix Identity and Access Management 组合的产品总监；他的职责包括评估市场趋势、确定 IAM 产品线的发展方向，并最终满足终端用户的需求。他的职业经历从为财富 500 强公司提供 IAM 咨询，到在一家大型直销面向消费者（direct-to-consumer）的公司担任企业架构师，涵盖范围十分广泛。 目前，他持有 CISSP 认证。