Есть ли что-нибудь «лучше», чем списки контроля доступа (ACL)?

Question

Я провел некоторое время, случайно обдумывая списки ACL в моей голове. Я вижу реальную выгоду ACL и их гибкость. Но у меня есть некоторые серьезные опасения, когда речь идет о реализации ACL для проекта, в котором могут быть сотни тысяч пользователей, если не миллионы. Все они так или иначе связаны с сотнями тысяч ресурсов (таких как изображения, сообщения, большие двоичные объекты).

Мне кажется, что затраты на обработку и управление правилами, применяемыми к миллионам ресурсов для сотен тысяч пользователей, были бы неприличными.

Но тогда я не видел альтернатив. Есть ли что-нибудь кроме имени пользователя, пароля, уровня пользователя?

Answer 1

Большинство компаний в конечном итоге оказываются раздавленными под тяжестью их RBAC и / или реализации ACL. Понимают ли они это или нет. Будущее - управление доступом на основе атрибутов. Упрощает вещи, переходя от «Джонни может получить доступ к X, потому что он в роли администратора». «Джонни может получить доступ к X, потому что он между 8-5 и у него есть разрешение X, а также часть бизнес-единицы Y».

Google XACML и посмотрите эту забавную презентацию в ролях http://vimeo.com/2723800. Зед гвозди это.

Answer 2

Я бы не боялся влияния ACL на производительность.

Если он окажется медленным, профилируйте его и оптимизируйте.

В нем нет ничего настолько медленного, что делает его непригодным для крупных проектов.

Answer 3

Используйте Google для "Контроль доступа на основе ролей" и "Управление сетями на основе доменов".

Answer 4

Управление ACL (или любым другим эквивалентом) может быть медвежьим, если вы не планируете заранее. Единственное, что имеет самое большое значение, это предоставление доступа группам, а не отдельным лицам, избегая избыточности. Это особенно актуально, когда группа содержит другие группы.