基于用户属性授权（ABAC）

概述

基于属性的访问控制（ABAC）是一种灵活的授权方式，它根据用户属性动态分配权限。动态角色创建后，需要设置条件，比如这个"年龄大于35周岁的男性"动态角色，需要在用户属性里面将年龄设置成>35,性别设置成=男。设置完成后点击保存即可。动态角色支持设置黑名单功能，黑名单上的人员不会有该角色。

ABAC与RBAC对比

特性	ABAC（基于属性）	RBAC（基于角色）
授权依据	用户、环境、资源等的属性	预定义的用户角色
灵活性	高，可根据多种条件动态授权	中等，受限于预定义角色
精细程度	可非常精细，支持复杂条件组合	受限于角色粒度
管理难度	相对较高，需要定义策略和属性	相对简单，集中管理角色
适用场景	复杂多变的授权需求	稳定的组织结构和权限分配

操作步骤

1. 创建动态角色

参考文档：角色管理

2. 配置属性条件

根据配置条件匹配用户：

参数说明

参数	说明
左侧组织架构	勾选对应的用户组，进行授权；授权维度为该组内的成员，如移出或修改则不加入动态角色；被移动到该用户组内会加入到动态角色
增加条件	增加筛选条件，多个条件为or的关系
黑名单	黑名单的用户，不管是否符合过滤规则，都不会被加入动态角色

常用属性类型

属性类型	示例	操作符
用户属性	职位、部门、年龄、性别	=, !=, >, <, 包含
环境属性	时间、位置、网络环境	在...之间, 匹配
资源属性	数据分类、敏感级别	=, 包含
操作属性	读取、修改、删除	=

生效配置

配置完成后单击 "确定" 保存，然后单击 "提交计算" 根据制定的规则自动计算用户组中的成员。在授权范围中即可授权该角色。

ABAC优缺点

优点

高度灵活性：可根据多种属性组合制定精细的授权策略

动态适应：无需手动调整，自动适应用户属性变化

减少角色膨胀：避免RBAC中的角色爆炸问题

上下文感知：可以基于环境上下文（时间、位置等）动态授权

缺点

配置复杂：策略设计和属性定义需要专业知识

性能开销：实时计算权限可能带来性能负担

策略一致性：难以确保大量策略间的一致性

可视化难度：权限分配关系不如角色直观清晰

最佳实践

结合RBAC使用：对于稳定的权限采用RBAC，动态权限使用ABAC

属性标准化：建立统一的属性命名和值域标准

分层策略：从一般到特殊逐层制定策略

定期审核：定期检查和优化授权策略

应用场景示例

场景	ABAC应用方式	优势
项目访问控制	基于项目状态、用户参与角色、时间段授权	随项目进展自动调整权限
数据访问控制	基于数据分类、用户级别、访问位置授权	精细化保护敏感数据
临时权限授予	基于申请理由、有效期、审批状态授权	自动处理临时权限过期

基于用户属性授权（ABAC）

概述#

ABAC与RBAC对比#

操作步骤#

1. 创建动态角色#

2. 配置属性条件#

参数说明#

常用属性类型#

生效配置#

ABAC优缺点#

优点#

缺点#

最佳实践#

应用场景示例#

概述