4. RBAC模型扩展：基于属性的访问控制(ABAC)、基于策略的访问控制(PBAC)、混合模型

在镜像供应链平台中，传统RBAC（基于角色的访问控制）模型在面对动态资源、多租户环境和细粒度权限需求时，逐渐暴露出灵活性不足的问题。角色爆炸（Role Explosion）和静态权限绑定使得运维复杂度急剧上升。本章将系统阐述ABAC、PBAC以及混合模型的核心原理、适用场景与设计模式，帮助你在平台门户中构建更具弹性的信任边界。

4.1 从RBAC到ABAC：属性驱动的动态授权

ABAC（Attribute-Based Access Control）的核心思想是将访问决策从“角色”转移到“属性”上。任何实体（用户、资源、环境）都可以被抽象为一组属性，策略引擎根据属性间的逻辑关系动态计算授权结果。

ABAC策略通常以策略语言（如XACML、ALFA或自定义JSON DSL）描述。以下是一个基于属性的策略示例，用于控制“仅允许安全等级为‘高’的用户在办公网络内删除生产环境镜像”：

{
  "policyId": "delete-prod-image-policy",
  "effect": "Deny",
  "condition": {
    "allOf": [
      { "subject.role": "operator" },
      { "resource.environment": "production" },
      { "action.operation": "delete" },
      { "subject.securityLevel": { "neq": "high" } },
      { "environment.networkZone": { "neq": "corporate-vpn" } }
    ]
  },
  "obligations": ["auditLog", "requireMFA"]
}

4.2 PBAC：策略与决策的分离架构

PBAC（Policy-Based Access Control）进一步将策略管理与策略执行解耦，引入标准化的策略决策点（PDP）和策略执行点（PEP）架构。PBAC不限定属性来源，而是强调策略的生命周期管理、版本控制与冲突解决。

PBAC的典型策略语言支持多值评估和组合算法（优先Deny、优先Permit、首次适用）。在供应链场景中，PBAC可以轻松实现“金丝雀发布策略”：仅允许带有canary:true标签的镜像部署到10%的节点，且必须通过动态漏洞扫描。

4.3 混合模型：RBAC + ABAC + PBAC 的融合实践

在大型平台门户中，单一模型往往无法覆盖所有场景。混合模型通过分层抽象，将RBAC的易管理性、ABAC的灵活性和PBAC的策略治理能力结合起来。常见的融合模式包括：

• 角色约束下的ABAC： 先通过RBAC确定用户可操作的角色范围（如“镜像管理员”），再在该范围内用ABAC属性细化权限（如“仅允许删除已废弃超过30天的镜像”）。
• 策略覆盖角色： 使用PBAC作为顶层策略引擎，当策略未明确禁止时，回退到RBAC角色权限。这种模式适合多租户场景，租户管理员可自定义属性策略，但不可超越平台级角色边界。
• 动态角色推导： 根据用户属性（如当前项目、团队、安全等级）动态计算其有效角色集合，再基于角色进行授权。这实际上是ABAC驱动RBAC。

4.4 镜像供应链中的混合模型设计模式

针对平台门户的镜像供应链场景，推荐采用三层授权架构：

1. 第一层：身份与角色映射（RBAC） — 通过OIDC/OAuth2.0从企业IdP同步用户与组，映射到平台内置角色（如“镜像查看者”、“镜像审批者”、“仓库管理员”）。
2. 第二层：资源属性过滤（ABAC） — 在角色权限基础上，根据镜像标签（env:prod、compliance:hipaa）、仓库命名空间、漏洞评分（CVSS > 7.0）等属性进行二次过滤。
3. 第三层：全局策略治理（PBAC） — 平台安全团队定义不可逾越的全局策略（如“禁止从外部未签名仓库拉取镜像”、“禁止在非工作时间批量删除镜像”），这些策略由集中式PDP评估，覆盖所有角色和属性规则。