Existe-t-il quelque chose de «meilleur» que les listes de contrôle d'accès (ACL)?

Question

J'ai passé un peu de temps à réfléchir sur les ACL dans ma tête. Je peux voir le véritable avantage des ACL et leur flexibilité. Mais j'ai de sérieuses inquiétudes quand il s'agit de mettre en œuvre des ACL pour un projet qui pourrait avoir des centaines de milliers d'utilisateurs, voire des millions. Tous connectés en quelque sorte à des centaines de milliers de ressources (telles que des images, des messages, des BLOB).

Il me semble que le surcoût dans le traitement et la gestion des règles appliquées à des millions de ressources pour des centaines de milliers d'utilisateurs serait obscène.

Mais je n'ai vu aucune alternative. Y a-t-il un nom d'utilisateur, un mot de passe, un niveau d'utilisateur?

Answer 1

Faites un google pour "Contrôle d'accès basé sur les rôles" et "Gestion de réseau basée sur le domaine".

Answer 2

Je n'aurais pas trop peur de l'impact sur les performances d'ACL.

S'il s'avère lent, profilez-le et optimisez-le.

Il n'y a rien qui soit intrinsèquement lent au point de le rendre inadapté aux grands projets.

Answer 3

La gestion des listes de contrôle d'accès (ou toute autre solution équivalente) peut être un problème si vous ne planifiez pas à l'avance. La seule chose qui fait la plus grande différence est d'accorder l'accès aux groupes, pas aux individus, en évitant la redondance. Ceci est particulièrement pertinent lorsqu'un groupe contient d'autres groupes.

Answer 4

La plupart des entreprises finissent par être écrasées sous le poids de leur implémentation RBAC et/ou ACL. Qu'ils le réalisent ou non. Le futur est le contrôle d'accès basé sur les attributs. Simplifie les choses en allant de "Johnny peut accéder à X parce qu'il est dans le rôle d'administrateur." "Johnny peut accéder à X parce qu'il est entre 8-5 et il a l'autorisation X ainsi qu'une partie de l'unité d'affaires Y."

Google XACML et regarder cette amusante présentation sur les rôles http://vimeo.com/2723800. Zed le cloue.