01 · 访问控制模型总览（DAC / MAC / RBAC / ABAC / 规则 / 风险）

一句话秒懂

授权（authorization）有一堆现成”模型”可选：自主 DAC（主人说了算）、强制 MAC（标签说了算）、角色 RBAC（岗位说了算）、属性 ABAC（条件说了算）、规则（全局规则）、风险基（动态评估）。还有隐式拒绝、ACL、能力表等机制。

对应原书：Chapter 14 — “Comparing Access Control Models”

权限相关术语：

核心机制：

六大模型：

DAC（自主访问控制）：每对象有主人，主人可授予/拒绝他人。NTFS 用 DAC（ACL/DACL）。灵活但无集中管控。
RBAC（基于角色）：用角色/组，权限赋给角色，用户进组即得权。Windows 用组实现。易撤销（移出组即撤权），防 privilege creep，符合最小特权。相关 TBAC（基于任务） 按任务而非角色。
Rule-Based（基于规则）：全局规则对所有主体平等（如防火墙 ACL，末尾隐式拒绝）。注意：role-based 与 rule-based 都缩写 RBAC，CISSP 大纲区分二者。
ABAC（基于属性）：规则含多属性（用户/网络/设备），极灵活（如”允许经理用平板访问 WAN”）。SDN、MDM 常用。
MAC（强制访问控制）：主体与客体都贴分类标签，匹配才放行；格点模型（lattice），分等级/隔离/混合环境；比 DAC 更安全但不灵活。
Risk-Based（基于风险）：评估环境/情境/策略动态决策，可用机器学习；可要求 MFA、合规设备。

原则：Need to Know（需知）（有密级也须工作确实需要）、Least Privilege（最小特权）（含行动权）、Separation of Duties（职责分离）（敏感功能拆分防欺诈）。

口诀：“DAC 主人定、MAC 标签定、RBAC 岗位定、ABAC 条件定；隐式拒绝是底线，需知最小职责分。”

公司文件服务器用 NTFS（DAC）员工自管权限，但核心财务系统用 RBAC（按岗位组赋权），调岗自动撤权；边界防火墙用 rule-based（隐式拒绝）；内部 SD-WAN 用 ABAC（”经理+公司设备+工作时间”才放行）。

“DAC 灵活主人管，MAC 严恪标签锁；RBAC 组赋权、ABAC 属性灵，规则全局风险动。”