RBAC上的操作和权限之间的差异

Question

我正在使用基于角色的访问控制（RBAC）开发一个通用的用户管理系统，但我无法区分操作表和权限表（在阅读了这么多文章之后）。

“一个主题可以有多个角色。一个角色可以有多个主题。一个角色可以有多个权限。一个权限可以分配给多个角色。一个操作可以分配多个权限。一个权限可以分配给多个操作。”

EN维基百科。org/wiki/基于角色的访问控制

有人能举个简单的例子来区分它们吗？

Answer 1

权限-对资源访问模式的批准
资源-需要受限访问的系统对象或操作。

Answer 2

在RBAC中，权限是对象和操作之间的映射。

例如：

顾客123

读、写、更新、删除

以下是可能的权限：

customer123.readcustomer123.writecustomer123.updatecustomer123.delete

在RBAC中，然后将权限授予角色。所以一个角色可能是：

使用者

并被授予customer123.read

另一个角色可能是：

管理员

已授予customer123权限的。写，顾客123。使现代化

等等

Answer 3

RBAC标准不涉及操作，只涉及用户、角色和权限。我认为您所指的操作是您正在使用的特定实现的一部分。它们可能是在解决方案中实现资源的方式。

权限是执行/访问资源所需的权限。权限分配给角色，资源需要一组权限。

让我们以一个简单的收银台管理系统为例。有许多用户（商店的员工）和许多角色，包括出纳操作员。该角色给用户一个权限，扫描项目。操作项需要此权限。scan（），也可以通过操作项进行扫描。取消（）。