4. RBAC 核心概念：用户、角色、权限、会话、角色层次与约束

基于角色的访问控制（RBAC）是镜像供应链中管理信任边界与资源授权的核心模型。在镜像仓库、制品签名、部署策略等场景中，RBAC 通过将权限与角色绑定，而非直接授予用户，实现了灵活且可审计的访问控制。本节将深入解析 RBAC 的六大核心概念，并结合镜像供应链的典型场景进行说明。

4.1 核心概念定义与映射

RBAC 模型由美国国家标准与技术研究院（NIST）标准化，其核心要素包括用户、角色、权限、会话、角色层次与约束。下表展示了这些概念在镜像供应链中的具体映射：

4.2 用户与角色：从身份到职责的映射

在镜像供应链中，用户 不仅仅是自然人，还包括自动化服务账户。每个用户通过身份认证后，被分配一个或多个 角色。角色是权限的逻辑容器，它抽象了具体的操作能力。

• 用户分配原则：遵循最小权限原则，仅分配用户完成工作所必需的角色。
• 角色设计粒度：角色应基于供应链中的职责边界划分，例如：
  • 开发者角色：允许推送镜像到开发仓库，但无权签署或发布到生产仓库。
  • 安全工程师角色：允许读取所有仓库的漏洞扫描报告，但无权推送镜像。
  • 发布经理角色：允许审批镜像晋升到生产环境，并触发签名流程。

4.3 权限：细粒度的操作控制

权限是 RBAC 模型中最底层的原子单位。在镜像供应链中，权限通常由 资源 和 操作 组成。资源可以是镜像仓库、制品、签名密钥或策略文档；操作则包括读取、写入、删除、签署、审批等。

一个典型的权限定义格式如下：

# 权限格式：<资源类型>:<资源路径>:<操作>
# 示例：
artifact:project-a/nginx:read          # 允许读取 project-a 下的 nginx 制品元数据
artifact:project-a/nginx:push          # 允许推送镜像层到 project-a/nginx
signature:project-a/*:sign             # 允许对 project-a 下所有制品进行签名
policy:global:approve-promotion        # 允许审批全局的镜像晋升策略

权限的粒度直接影响供应链的安全性。过粗的权限（如“管理员”角色拥有所有权限）会导致权限滥用；过细的权限则增加管理复杂度。建议在镜像仓库中采用 资源路径通配符 和 操作分组 来平衡安全与效率。

4.4 会话：动态的权限激活上下文

会话 是用户与系统交互的临时上下文。用户登录后，系统创建一个会话，并在该会话中激活用户被分配的一个或多个角色。会话的关键特性包括：

• 角色激活：用户可以在一个会话中选择激活其拥有的部分角色，而非全部。这有助于实现最小权限的动态应用。
• 会话生命周期：会话有明确的开始和结束时间。在 CI/CD 流水线中，每个构建步骤可以视为一个独立的会话，步骤完成后会话即销毁。
• 审计追踪：所有在会话中执行的操作都应记录到审计日志中，包括会话 ID、激活的角色、操作时间及结果。

4.5 角色层次：权限的继承与复用

角色层次 定义了角色之间的偏序关系。在层次结构中，高级角色自动继承低级角色的所有权限。这极大地简化了权限管理，避免了重复授权。

下图展示了镜像供应链中一个典型的角色层次结构：

在上述层次结构中，仓库管理员 自动拥有 镜像审批者 和 安全审计员 的所有权限，而 镜像审批者 又继承 镜像推送者 和 制品读取者 的权限。这种设计使得权限管理更加高效：当需要为所有审批者增加一项新权限时，只需在 镜像审批者 角色上添加即可，其所有上级角色自动获得该权限。

4.6 约束：安全边界的强化机制

约束 是 RBAC 模型中防止权限滥用的关键机制。常见的约束类型包括：

4.7 核心概念关系总结

下图综合展示了用户、角色、权限、会话、角色层次与约束之间的动态关系：

该图清晰地展示了 RBAC 的核心流程：用户通过认证建立会话，在会话中激活一个或多个角色，每个角色包含一组权限。同时，角色层次定义了角色间的继承关系，而约束则对角色分配和激活施加了额外的安全限制。在镜像供应链中，正确理解和应用这些概念，是构建安全、可审计、可扩展的访问控制体系的基础。