SH

Soloharness

概念 · 辨析 · Agent

← 返回概念辨析

Concept Contrast Fable

按角色给权限和按属性给权限

RBAC 用角色管理权限,清楚、易审计;ABAC 按用户、资源、环境和任务属性动态判断,灵活但治理成本更高。Agent 接入企业系统后,这个区别会直接影响越权风险。

寓言

库房钥匙和守门人的条件册

城西库房存着账册、药材和贵重器具。早年规矩简单:掌柜有总钥匙,账房有账册钥匙,药师有药柜钥匙,搬运工只能进外仓。每个人按职位领一串钥匙,守门人看腰牌就放行。

这套办法省心。新账房入职,给账房钥匙;账房离开,收回钥匙。查账时也容易说明,谁因为什么角色能进哪间屋。库房扩张之前,没人觉得规矩有问题。

后来生意变复杂了。药师有时要看账册里的批次,账房有时要查药材成本,外城来的临时审计只该在白天看某几类记录。按职位发钥匙开始变粗,守门人为每个例外临时加钥匙,钥匙串越来越乱。

新任守门人改用条件册。他不只看职位,还看来人的姓名、任务、时间、货物类别、是否有审批。符合条件就开门,不符合就拒绝。临时审计终于不用领一串永久钥匙,只在指定时辰看指定账册。

可条件册很快厚到翻不动。两个条件互相冲突,夜班药师拿不到急用记录;有些货物标签写得不准,系统把普通药材当成贵重器具拦住。守门人每天都在解释为什么门开了或没开。

城主没有废掉任何一套制度。他把稳定岗位仍放在职位钥匙里,把高风险、临时、跨部门和受环境影响的访问交给条件册。每条条件都要有记录,谁改了规则、为什么改、影响哪些门,都必须能查。

库房恢复了秩序。职位钥匙让大多数人少走流程,条件册处理那些职位说不清的边界。真正麻烦的地方,不在门多,而在企业以为一串钥匙能管完所有例外。 每月盘点时,城主还会抽查两类门:一类是人多的常用门,防止角色越滚越大;一类是条件最多的细门,防止规则没人看懂。若新任务只持续一天,就不再新增永久角色,而是写清条件和到期时间。这样库房既能运转,也能解释每次开门的理由,审计来时也有账可查。

基于角色的访问控制

RBAC 根据用户角色分配权限,适合岗位稳定、职责清晰、审计要求直接的组织权限管理。

基于属性的访问控制

ABAC 根据用户、资源、动作、环境、任务等属性动态决策,适合临时授权、细粒度数据访问和复杂合规场景。

故事对应

  • 按职位发钥匙:RBAC 用角色映射权限
  • 临时审计和跨部门查看:角色模型难以表达的例外
  • 姓名、时间、任务、货物类别:ABAC 使用多类属性做授权判断
  • 条件册厚到翻不动:ABAC 规则治理和可解释性成本
  • 稳定岗位用钥匙,高风险访问用条件册:企业权限体系常见的混合设计

落到企业 Agent 权限里

内部员工工具可以先用 RBAC 控制大类权限;当 Agent 需要按客户、数据等级、任务目的、时间地点调用工具时,ABAC 才能表达细粒度边界。不要让例外授权不断堆进角色里,也不要上来就建一套无人能审的属性规则。