rbac - 在基于角色的访问控制 (RBAC) 中使用 session

Question

我试图了解基于 RBAC 模型的访问控制。我引用了以下链接。

NIST RBAC Data Model

我没有像摘录中提到的那样清楚地理解这部分 -

*“每个 session 是一个用户到可能多个角色的映射，即，用户建立一个 session ，在此期间用户激活分配给他或她的一些角色子集。每个 session 都与一个用户相关联，每个用户都是与一个或多个 session 相关联。函数 session_roles 为我们提供了由 session 激活的角色，函数 user_sessions 为我们提供了与用户关联的一组 session 。用户可用的权限是分配给角色的权限在所有 user.s session 中激活。"*

问题 - 如何使用 session 来激活角色？用户/组和角色之间的关系作为管理员数据插入。那么， session 如何为用户激活角色子集？

P.S -> 我之前问过这个问题 here但没有答案。可能这个问题太基本了，无法问，但我很想了解它。任何用例或链接肯定会有所帮助。

谢谢你的时间。

Answer 1

在 RBAC 中，管理员通过将权限分配给角色以及将角色分配给用户来授予权限。如您所知，对于能够使用特定权限的用户，必须为他分配至少一个提供所述解决方案的角色。

所以每个用户都有一组分配给他的角色。在 session 期间，他可以选择激活(或停用)这些角色中的任何一个，但不能选择其他角色。激活的角色确定在 session 期间的给定时间用户可以使用哪些权限。例如，这对于动态分离职责约束很有用，其中两个角色 A 和 B 可以分配给同一个用户 U，但不能一起使用。因此，如果 U 想使用 A，他必须在激活 A 之前停用 B。