第1章 RBAC核心概念速查
本章是《RBAC权限模型RICE打分实战》的入门基石。你将快速掌握RBAC的七个核心概念，理解它们如何协同工作，为后续RICE打分评估打下牢固基础。本章不涉及任何代码或配置，纯粹用结构化速查方式建立知识地图。
适用场景
- 团队刚接触RBAC，需要统一术语认知。
- 在进行权限模型设计前，评估当前系统是否满足RBAC基本要素。
- 作为RICE打分前的概念预热，确保所有参与者对“角色”“权限”“会话”等有共识。
- 新成员入职培训或跨部门权限评审会议的知识对齐环节。
前置条件
- 了解基本的访问控制概念（如用户、资源、操作）。
- 知道为什么要使用基于角色的权限管理（而非直接给用户授权）。
- 准备好纸笔或数字笔记工具，用于记录关键关系。
操作步骤
以下速查表列出了RBAC的七个核心概念。请依次阅读，并结合右侧的“关系说明”理解它们之间的连接。
| 概念 | 定义 | 典型示例 | 与其他概念的关系 |
|---|---|---|---|
| 用户（User） | 系统的自然人账号或服务账号。 | 张三（员工ID: 1001） | 与角色多对多；通过会话激活角色；受SSD/DSD约束。 |
| 角色（Role） | 一个语义上的权限集合，代表组织中的职位或职能。 | “财务经理”角色 | 继承自父角色；分配给用户；拥有权限；是SSD/DSD的约束目标。 |
| 权限（Permission） | 对特定资源（或资源类）执行特定操作的许可。 | “查看所有报销单” | 直接隶属于角色；角色间通过继承共享权限。 |
| 会话（Session） | 用户一次登录期间激活的角色集合。 | 张三登录后激活了“普通员工”和“项目成员”角色 | 连接用户与当前可用角色；动态决定实际权限。 |
| 继承关系（Role Hierarchy） | 角色之间的父子关系，子角色自动获得父角色的全部权限。 | “副总裁”继承“总监”权限 | 影响角色拥有的权限集；简化权限分配。 |
| 静态职责分离（SSD） | 在角色分配阶段强制约束：一个用户不能同时拥有互斥的角色。 | 用户不能同时被分配“出纳”和“会计”角色 | 防止利益冲突；在用户-角色分配时检查。 |
| 动态职责分离（DSD） | 在会话激活阶段强制约束：一个会话中不能同时激活互斥的角色。 | 同一会话中不能同时激活“审核员”和“审批员” | 更灵活的运行时约束；允许拥有互斥角色但不同时使用。 |
速查技巧： 使用“用户→会话→角色→权限”这条链路记忆RBAC的核心数据流；继承关系是角色之间的纵向扩展；SSD和DSD是横向安全护栏。
输入输出物
| 输入物 | 输出物 |
|---|---|
| 现有权限管理文档、需求说明书 | 概念速查清单（本章的表格与SVG可打印为知识卡片） |
| 团队讨论记录 | 统一的概念认知记录 |
责任边界
- 课程设计师：提供权威的概念定义，确保不偏离标准RBAC（NIST/ISO）。
- 学员（读者）：在30分钟内完成本章速查，并能用自己的话复述每个概念。
- 验收人（讲师或组长）：抽查对“SSD与DSD区别”的理解，确认没有混淆。
记录材料
- 速查卡片（.md / .pdf）：包含本章表格和SVG，标注为“RBAC概念速查”版本1.0。
- 概念关系图：下方SVG可单独保存，用于团队白板讨论。
- 常见误区记录：例如“把权限直接分配给用户”是违反RBAC原则的。
异常处理
| 异常情况 | 处理方式 |
|---|---|
| 混淆“SSD”和“DSD” | 使用记忆点：SSD是“分配时”约束（静态），DSD是“运行时”约束（动态）。 |
| 认为“角色继承”就是“权限继承” | 强调：继承的是整个角色，包括其关联的所有权限和属性，不只是权限列表。 |
| 忽略“会话”的存在 | 用浏览器登录示例说明：用户可以有多个会话，每个会话可激活不同角色集。 |
| 将“用户”与“角色”直接硬关联 | 提示：RBAC中用户通过会话与角色建立临时关联，支持最小权限原则。 |
验收标准
- 标准1：能独立画出本章SVG所示的概念关系图（手绘即可）。
- 标准2：能正确回答：“一个用户同时拥有‘采购员’和‘验收员’角色，在SSD和DSD分别如何约束？”
- 标准3：能说出RBAC中权限的粒度通常是什么（操作+资源），并举例。
- 标准4：能区分“继承关系”与“职责分离”的不同目标（前者简化授权，后者避免冲突）。
概念关系可视化
下图将上述七个概念组织为一个关系网络，帮助你建立整体认知。深色节点表示核心实体，浅色说明框补充关键约束逻辑。
⚠️ 避免混淆：SSD（静态）作用于用户-角色分配阶段，DSD（动态）作用于会话-角色激活阶段。千万不要把两者的检查时机搞反。