NGAC下一代访问控制
NGAC,即下一代访问控制,采用将访问决定数据建模为图形的方法。NGAC 可以实现系统化、策略一致的访问控制方法,以高精细度授予或拒绝用户管理能力。
在这张图中,我们可以看到 /hr-docs
文件夹中的两个文件 resume
和 contract
的表示,每个文件都链接到一个类别(public
/confidential
)。还有两个策略类,File System
和 Scope
,图中的对象被连接在这里 —— 需要满足这些条件才能获得对每个文件的访问权。
在例子中,用户 Allice 对两个文件都有读写访问权限,因为有一个路径将 Allice 链接到每个文件,而且路径授予了两个策略类的权限。但是,用户 Bob 只有对 resume
文件的访问权,因为虽然存在一个从 Bob 到 contract
文件的路径,该路径满足 File System
策略类的 “读 " 权限,但没有授予 Scope
策略类权限的路径。所以,Bob 对 contract
文件的访问被拒绝。