क्या नियम आधारित पहुंच नियंत्रण का एक सरल सामान्य कार्यान्वयन है?

Question

मैं इंट्रानेट साइट के एक्सेस कंट्रोल को कार्यान्वित कर रहा हूं। जो आसान होगा, अगर कंपनी के पास 200+ कर्मचारी नहीं थे और लगभग हर किसी के लिए कस्टम अनुमतियां नहीं थीं। यह पागलपन है, मुझे पता है, लेकिन मैं इसे बदल नहीं सकता।

तो, मैंने एक सामान्य कार्यान्वयन खोजने की कोशिश की जो मेरी आवश्यकताओं को पूरा करेगी, लेकिन इसे नहीं मिला, इसलिए मैं इसे स्वयं करने गया। अंत में, मैं एक काफी सामान्य समाधान के साथ आया जिसने मुझे सोचा: किसी ने इसे पहले किया होगा!

मैंने इसे रोक दिया (विषय कार्य ऑब्जेक्ट अनुमति) एक्सेस कंट्रोल।

.-------.  .-----------.  .-------. 
| users |1---*| STOPRules |*---1| tasks | 
`-------'  '-----------'  '-------' 

एक बंद नियम निम्नलिखित गुण

STOPRule { 
    Subject; 
    Task; 
    ObjectType; 
    Permission; 
    Relation; 
} 

वस्तु संबंध हो सकता है: मैं निम्नलिखित रिश्ता नहीं है मालिक, निर्माता, Revisor, आदि इस क्षेत्र की आवश्यकता नहीं है, का समर्थन करने के सामान्य कार्य जब यह वहां होता है, तो वर्तमान उपयोगकर्ता और ऑब्जेक्ट इंस्टेंस के बीच संबंध एक प्रतिनिधि द्वारा गणना की जाती है। इसके बाद मौजूदा संबंध को नियम पर आवश्यक संबंध के साथ तुलना की अनुमति देने या इनकार करने के लिए तुलना की जाती है।

मुझे बताएं कि क्या मैं पर्याप्त स्पष्ट नहीं था।

दो सवाल उठता है:

1. वहाँ इस तरह एक खुला स्रोत कार्यान्वयन है?

2. क्या आपको इस समस्या के बाद मुझे कोई समस्या दिखाई दे रही है?

संपादित करें: मैं आगे चला गया और वास्तव में इस मॉडल को लागू करने शुरू कर दिया। पहली समस्या यह थी कि मुझे किसी भी उपयोग के मामले का समर्थन करने के लिए विषय और वस्तु के बीच संबंध की आवश्यकता थी। अब, मैं निम्नलिखित नियम स्टोर कर सकते हैं:

जॉन (विषय) कर सकते हैं की (अनुमति) संपादित (कार्य) एक आदेश (वस्तु) अगर वह निर्माता (संबंध) है आदेश।

कृपया, क्या आप लोग एक वास्तविक उपयोग केस प्रदान कर सकते हैं जिसे इस मॉडल का उपयोग करके व्यक्त नहीं किया जा सकता है?

Answer 1

कुछ भूमिकाओं के द्वारा समूहित अनुमतियों के साथ वास्तव में एक तालिका होने के बारे में और विस्तारित अनुमतियों के लिए एक और तालिका का उपयोग करें जो सामान्य लोगों को ओवरराइड करेगा। अगर यह केवल जॉन को कुछ पहुंचने का मामला है, तो यह भी उल्लेख क्यों करें कि एक दूसरे व्यक्ति नहीं कर सकता? उपरोक्त टिप्पणी में प्रदान किए गए अंतिम उदाहरण की तरह: क्या अनुमतियों वाली एक तालिका है। एक रिकॉर्ड दिखता है: 1645 edit_some_field। फिर group_permissions इस तरह दिखते हैं: 1645 everyone false और अंतिम अपवाद तालिका 1645 (Jane Doe's ID) true होगी।

हैं, तो मान लीजिए कि वहाँ 50 लोग हैं, जो उपयोग कर सकते है इस क्षेत्र को संपादित करने के लिए कर रहे हैं, तो आप जैसे समूह सारणी में एक और समूह जोड़ें: 89 editors_of_field_X, 89 (John Smith's ID) true की तरह एक मेज group_members में लोगों की आईडी डाल दिया। और फिर अंतिम चरण पर आप ऊपर वर्णित अनुसार एकल व्यक्ति की अनुमतियों वाले लोगों को ओवरराइड कर सकते हैं। तो निष्कर्ष में आपके पास 3-परत योजना होगी। हर कोई समूह व्यक्ति।और गहरा आप उस भूमिका के उच्च महत्व पर जाते हैं। उदाहरण के लिए यदि सभी को अनुमति नहीं है, लेकिन जिस समूह में आप हैं, तो आप कुछ संपादित कर सकते हैं।

इसके अलावा यदि आपको तीसरे व्यक्ति स्तर पर पहुंच के साथ अनुमति नहीं है, तो फिर, आप समूह में अपवाद बन गए। इस तरह आप बाद में समूहों का पुन: उपयोग करने में सक्षम होंगे, केवल मामूली परिवर्तन जोड़ रहे हैं।

Answer 2

जॉन ने एक आदेश बनाया और बॉब को इसे देखने देना चाहता है।