📚 课程目录第3章 RBAC核心原理

3. RBAC 核心原理：角色定义、权限粒度、角色继承与角色层级

基于角色的访问控制（RBAC）是镜像供应链平台门户中管理信任边界的基础机制。在供应链场景下，角色不再仅仅是“管理员”或“用户”的简单划分，而是需要映射到镜像构建、签名、推送、部署、审计等具体操作链路上。本节从角色定义、权限粒度、角色继承与层级三个核心维度展开，确保你能够设计出既符合最小权限原则，又具备可扩展性的 RBAC 模型。

3.1 角色定义：从岗位职责到权限集合

角色是权限的逻辑容器。在供应链平台中，角色定义应遵循“职责驱动”原则，即每个角色对应一组明确的业务操作。常见的角色定义方法包括：

基于岗位（Job-Based）：如“镜像安全审核员”、“制品仓库管理员”、“流水线运维工程师”。
基于项目（Project-Based）：如“项目 A 的镜像推送者”、“项目 B 的签名验证者”。
基于环境（Environment-Based）：如“生产环境只读者”、“预发环境部署者”。

最佳实践： 在定义角色时，建议使用“角色名称 + 职责描述 + 关联策略”的三元组结构。例如：角色名称为 image-signer，职责为“对通过安全扫描的镜像进行数字签名”，关联策略为“允许调用 /api/v1/sign 接口”。

3.2 权限粒度：从粗粒度到细粒度的控制

权限粒度决定了 RBAC 模型的灵活性与安全性。在供应链场景中，权限粒度通常分为三个层次：

粒度层级	描述	供应链示例	适用场景
资源级	对整个资源类型进行授权	允许访问所有镜像仓库	全局管理员、平台运维
实例级	对特定资源实例进行授权	仅允许访问 `project-x/nginx` 镜像	项目成员、开发团队
属性级	基于资源属性或标签进行授权	仅允许访问标签为 `env=prod` 的镜像	安全合规、环境隔离

  关键点： 在镜像供应链中，属性级权限（Attribute-Based Access Control, ABAC 的简化形式）尤为重要。例如，可以定义“仅允许对 critical=high 的镜像执行签名操作”，从而在 RBAC 基础上叠加动态条件。

3.3 角色继承与角色层级

角色继承允许一个角色自动获得另一个角色的权限集合，从而减少权限冗余并简化管理。在供应链平台中，角色层级通常表现为树状或网状结构。

注意： 过度使用角色继承可能导致权限扩散（Privilege Escalation）。建议遵循“继承深度不超过 3 层”的工程经验，并在每次继承变更时触发权限审计。

以下是一个典型的镜像供应链角色层级示例：

3.4 权限冲突与优先级规则

当用户同时拥有多个角色，或角色继承路径存在重叠时，需要明确的冲突解决策略。以下是供应链平台中常用的优先级规则：

拒绝优先（Deny-Override）：任何显式的拒绝权限（Deny）优先于允许权限（Allow）。适用于安全隔离场景，如“禁止生产环境镜像被删除”。
最近祖先优先（Nearest Ancestor）：在角色继承链中，距离用户最近的角色权限优先级最高。适用于多层级组织架构。
角色互斥（Separation of Duty, SoD）：某些角色不能同时分配给同一用户。例如，镜像签名者与镜像审核者必须由不同人员担任。

工程实现提示： 在策略决策点（PDP）中，建议使用“权限优先级矩阵”进行快速裁决。以下是一个简化的优先级矩阵示例：

// 权限优先级裁决逻辑（伪代码）
function resolvePermission(user, resource, action):
    roles = getUserRoles(user)
    permissions = []
    for role in roles:
        perms = getRolePermissions(role, resource)
        permissions.extend(perms)
    // 拒绝优先
    if any(p.action == 'deny' for p in permissions):
        return 'DENY'
    // 最近祖先优先
    sorted_perms = sortByAncestorDistance(permissions, ascending=False)
    return sorted_perms[0].effect  // 'allow' 或 'deny'

3.5 角色层级与权限粒度的协同设计

在实际的供应链平台门户中，角色层级与权限粒度需要协同设计，才能实现既安全又灵活的控制。以下是一个协同设计的对照表：

角色层级	推荐权限粒度	典型操作	审计要求
平台超级管理员	资源级	创建/删除仓库、全局策略配置	每次操作记录
仓库管理员	实例级	管理仓库内镜像版本、设置标签	每日审计
镜像签名官	属性级	仅对通过安全扫描的镜像签名	每次签名记录
部署执行者	实例级 + 属性级	仅部署标签为 `env=staging` 的镜像	每周审计
制品消费者	实例级（只读）	拉取镜像、查看元数据	无需审计

通过上述设计，RBAC 模型能够精确映射镜像供应链中的信任边界，确保每个操作都在最小权限范围内执行，同时通过角色继承和层级结构降低管理复杂度。