Knowledge/1 使用/Linux/权限模型.md

IAM 与 RAC：不同层面的概念

IAM (Identity and Access Management，身份与访问管理) 是一个框架或系统服务-。它是一个宏观的管理体系，负责整个数字身份的生命周期管理（创建、修改、删除）以及定义“谁”在“什么条件”下可以“访问”什么“资源”。

IAM 中的主流授权模型：RBAC vs ABAC

在实际的IAM系统中，最主流的两种授权模型是RBAC和ABAC-4-。它们的核心区别如下：

特性	基于角色的访问控制 (RBAC)	基于属性的访问控制 (ABAC)
授权基础	基于用户在组织中的职能或角色（如：管理员、开发者）-1。	基于动态属性，如用户属性、资源属性、操作类型、环境等-1。
权限关系	用户 → 角色 → 权限-4。	用户/资源 → 策略 (基于属性规则)-1。
管理粒度	相对粗粒度，通常授予对一类服务的访问权限-4。	细粒度，可以精确到某个操作、某个特定资源-1-4。
扩展性与灵活性	灵活性较差。新增资源或人员变动时，通常需要手动更新角色或策略-1。	灵活性高。只要属性匹配，新资源的权限可自动授予，无需修改策略-1。
适用场景	组织架构稳定，角色和职责明确的环境-4。	环境动态变化，需要精细化、自动化权限管控的大型或复杂组织-4。

Linux 用户系统核心是 DAC (自主访问控制)-17

• 机制：这是Linux最基础的权限模型，即经典的UGO（用户、组、其他人）+ RWX（读、写、执行）权限，以及更灵活的ACL（访问控制列表）--17。
• 特点：资源（文件、目录）的拥有者可以自主决定授予谁什么权限-15-17。
• 例子：你使用chmod命令修改自己文件的权限，就是典型的DAC操作-17。