CyberGlossary

身份与访问

基于属性的访问控制(ABAC)

别称: ABAC, 基于策略的访问控制

定义

一种通过对主体、资源、操作和环境属性进行策略评估,来决定是否允许访问请求的授权模型。

基于属性的访问控制用动态策略取代静态的角色分配。决策引擎根据用户部门与密级、资源分类、所请求的操作、时间、设备合规状态等属性进行规则评估。这样可以做出非常细粒度、上下文相关的判断,例如仅在医生值班期间,并通过受管设备访问时,才允许其查看病历。NIST SP 800-162 对 ABAC 进行了描述,常用 XACML 与 OPA Rego 等标准实现。其优势在于灵活性与可扩展性,缺点是策略复杂、审计困难,并依赖可信的属性来源。

示例

  • OPA 策略仅在 user.region == resource.region 且 device.compliant == true 时放行。
  • XACML 规则限制只允许欧盟用户从欧盟 IP 段导出个人数据。

相关术语