컴플렉스 (?) 액세스 제어

Question

나는 비교적 복잡한 액세스 제어 상황 (많은 경험이없는, 완전히 잘못 될 수 있음)이 있다고 생각합니다. 이 시스템은 개인/사내 데스크톱 전용 응용 프로그램으로 차이가있을 경우에만 사용합니다.

내가 인사에 대한 트랙 인증서을 일하고 시스템 (테이블 굵은 사용). 특정 사용자은이 시스템에 액세스 할 수 있으므로 다소 제어가 이루어 지지만 추가 제어가 필요합니다. 예를 들면; 모두 사용자은 인력에 액세스 할 수 있어야합니다. 이는 실제로 HR에만 국한되어야합니다. 또한 특정 사용자은 인사에만 액세스 할 수 있지만 특정 인증서에만 액세스 할 수 있습니다.

현재 생각은 인증서 권한/액세스 레벨을 가진 int이며 & 인사에 필드를 추가한다. this 설정과 유사합니다. 사용자 테이블은 비교가 가능하도록 "AccessLevel"필드도 갖습니다.

현재 액세스 수준에 대한 확신이 없으며 현재 다음 사항을 고려하고 있습니다. 내가 올바른 방향 여부에 향하고있는 경우

[Flags] 
public enum AccessLevel 
{ 
    None, 
    ReadOnly, 
    Normal, // Can view all Certificates and Personnel that aren't set to Management 
    Management, // For "sensitive" Personnel and/or Certificates 
    HR, // Full access 
    Admin // Permission control/editing 
} 

나는 특정 하지만 전에 이러한 복잡성에 대한 액세스 제어를 아니에요하지가 있습니까?

Answer 1

코드에 권한 논리를 쓰지 마십시오. 대신 귀하는 귀하의 승인을 외부화하려고 시도해야합니다. eXtensible Access Control Markup Language 인 XACML을 사용하십시오. XACML은 확장 된 아키텍처를 제공합니다. 정책 언어는 권한 부여 사례 (및 기타 사항)를 충족시킬 수있을만큼 충분히 풍부하고 고급 정책 아키텍처를 제공합니다.

XACML을 사용하면 다양한 작업 (보기, 편집, 컨트롤 ...)에 대한 규칙을 작성할 수 있으며 매개 변수/속성이 중요한지 선택할 수 있습니다. 예를 들어 당신이 쓸 수 : 및 user.id ==가 document.owner.id 경우에만

는 사용자가 문서를 볼 수있는 경우

• 사용자가 문서를 편집 할 수 있습니다 만 user.location 경우 경우 == document.location

최근 Cloud Identity Summit에서 외부화 권한 부여에 대한 의견을 나누었습니다. 내 슬라이드 here을 찾을 수 있습니다.

HTH, 데이비드.