RBAC + ABAC混合访问控制模型

Question

我正在研究各种类型的访问控制模型。到目前为止，我遇到了MAC，ABAC和RBAC，RBAC和ABAC是流行的。但它们都不适合作为所有现实生活场景的完整解决方案。

这就是为什么多次提出RBAC和ABAC的混合模型的原因。我仍然无法理解这种混合模型，以及该模型如何克服RBAC和ABAC的缺陷。

Answer 1

ABAC本身是单独的，因为它可以用来实施RBAC策略。当人们提到混合RBAC/ABAC模型时，他们意味着角色和权限仍然在身份管理系统中进行管理，例如，一个LDAP，但您现在依赖策略（例如XACML）来驱动实际授权。

应用程序仍然可以直接使用角色，但可能会依赖PEP进行授权决策。