设计自定义角色系统

本教程将向你介绍如何为你的组织设计并实现一个自定义角色系统。自定义角色允许你授予用户细粒度的访问权限，从而增强安全性和改善数据完整性。

关键因素

1. 明确的需求和目标

首先，明确定义设计自定义角色系统的具体需求和目标。 例如，你是想提高应用程序的安全性？简化访问控制管理？还是满足更复杂的访问控制需求？ 明确的需求可以帮助你更好地定义角色和权限，并选择正确的实现方式。

2. 合理的角色划分

根据应用程序的功能和用户职责对角色进行逻辑划分，确保适当的粒度。这可以避免角色过于细化导致管理复杂，或角色过于粗放缺乏足够的权限控制。

3. 清晰的权限定义

每个角色都应有清晰的权限定义。权限定义应该清晰易懂，并与该角色的职责相一致。避免向同一个角色授予过多或不相关的权限。

在不同角色中复用权限策略可能是一把双刃剑。如果使用得当，它能带来简化管理的好处；但如果不谨慎，也会引入潜在的安全风险。如果被复用的策略遭到破坏，它可能会影响所有继承该策略的角色，有可能导致对多个资源的未授权访问。这会放大安全漏洞的潜在危害。过于宽泛的策略会使最小权限原则难以实施，从而赋予用户超出其实际需要的权限。

4. 清晰的层级和可扩展性

一个用户友好的自定义角色系统应该是高度可扩展且面向未来的。这使得分配用户到适当角色的职责分离成为可能。可以通过定制化的角色和权限策略满足部门需求，减少在日常权限管理中对单一“超级管理员”的依赖。或者，团队负责人可以在团队内部指派角色和权限，确保细粒度的控制，并将对其他团队的影响降到最低。

用例

通常，API7 企业版建议在团队内部采取有节制的角色管理方法。在大多数场景中利用团队负责人角色，仅在明确需要并进行彻底安全审查后才考虑创建更小的领导角色。

团队专属访问控制

假设你需要一个 RBAC 系统，该系统在管理跨团队具有稳定职责的共享角色（例如“测试工程师”、“开发工程师”）方面表现出色。然而，当出现以下情况时可能会面临挑战：

• 团队人员构成频繁变动：新成员加入，或团队成员为适应调整而更换角色。
• 存在团队特定的职责：每个团队可能有独特的工作流或职责，需要细粒度的访问控制。
• 有限的用户可见性：用户可能不熟悉其他团队的同事。

解决方案

1. 超级管理员和具有 Role Manager (角色管理员) 自定义角色（授予以下权限）的用户负责维护 API7 企业版中的所有角色：

{
  "statement": [ // 一个策略中的多个 statement 之间是 OR 的关系。
    {
      "resources": [
        "arn:api7:iam:user/<.*>"
      ],
      "actions": [
        "<.*>"
      ],
      "effect": "allow"
    },
    {
      "resources": [
        "arn:api7:iam:role/<.*>"  // 除超级管理员之外的所有角色
      ],
      "actions": [
        "<.*>"
      ],
      "effect": "allow"
    },
    {
      "resources": [
        "arn:api7:iam:permissionpolicy/<.*>" // 除 super-admin-permission-policy 之外的所有权限策略
      ],
      "actions": [
        "<.*>"
      ],
      "effect": "allow"
    }
  ]
}

2. 创建具有以下权限的自定义角色 Team Lead。分配此角色的用户将负责管理其特定团队内部的角色。

 {
    "statement": [
        {
            "resources": [
                "arn:api7:iam:users/23w9q4t-ba7e-f310-a1d45b-78jklz1234", // 所有团队成员的用户 id
                "arn:api7:iam:users/n5p1u6y-0df3-4a5b-c90fe1-32kasd789b",

                "arn:api7:iam:users/gt8h2x3-1fe4-5678-d21b0a-98zxc1b546",
                "arn:api7:iam:users/y7u8i9o-pasd-fghj-123456-7klmnop12"
            ],
            "actions": [ // 包含团队管理所需的所有操作，不包括邀请用户 (invite user)。
                "iam:GetUser",
                "iam:UpdateUserRole",
                "iam:ResetPassword",
                "iam:DeleteUser"
            ],
            "effect": "allow" 
        }
    ]
 }

团队专属角色设计

模块化的 RBAC 系统以及针对特定团队的角色和权限创建，允许每个团队管理自己的访问需求，从而减少对 Super Admin (超级管理员) 或 Role Manager (角色管理员) 的依赖。

解决方案

1. 创建具有以下两个权限策略的自定义角色 Team Lead。分配了此角色的用户将负责在其特定团队内设计和管理角色。

权限策略 1 用于为团队成员分配角色：

 {
    "statement": [
        {
            "resources": [
                "arn:api7:iam:users/23w9q4t-ba7e-f310-a1d45b-78jklz1234", // 所有团队成员的用户 id
                "arn:api7:iam:users/n5p1u6y-0df3-4a5b-c90fe1-32kasd789b",

                "arn:api7:iam:users/gt8h2x3-1fe4-5678-d21b0a-98zxc1b546",
                "arn:api7:iam:users/y7u8i9o-pasd-fghj-123456-7klmnop12"
            ],
            "actions": [ // 包含团队管理所需的所有操作，不包括邀请用户 (invite user)。
                "iam:GetUser",
                "iam:UpdateUserRole",
                "iam:ResetPassword",
                "iam:DeleteUser"
            ],
            "effect": "allow" 
        }
    ]
 }

权限策略 2 用于为团队创建自定义角色和权限策略：

{
    "statement": [
        {
            "resources": [
                "arn:api7:iam:role/<.*>",
            ],
            "actions": [ // 包含角色管理所需的所有操作
                "<.*>"
            ],
            "conditions": {
                "role_label": {
                    "type": "MatchLabel",
                    "options": {
                        "key": "team",
                        "operation": "exact_match",
                        "value": "champion"
                    }
                }
            },
            "effect": "allow" 
        },
        {
            "resources": [
                "arn:api7:iam:permissionpolicy/<.*>"
            ],
            "actions": [ // 包含权限策略管理所需的所有操作
                "<.*>"
            ],
            "conditions": {
                "permissionpolicy_label": {
                    "type": "MatchLabel",
                    "options": {
                        "key": "team",
                        "operation": "exact_match",
                        "value": "champion"
                    }
                }
            },
            "effect": "allow" 
        }
    ]
}

2. 作为一名 Team Lead (团队负责人)，请始终在你创建的资源中包含你团队的指定标签。这能确保你的角色和权限策略拥有适当的访问控制。

3. 你还可以让 Super Admin 或 Role Manager 设计共享角色，并将它们分配给你的团队成员。

4. API7 企业版允许在团队内部进一步委派。作为一名 Team Lead，你甚至可以创建一个关联到相同权限策略的自定义角色。这种方法可以显著减轻团队负责人管理角色的负担。

虽然委派可以带来效率上的提升，但在安全性之间保持平衡是至关重要的。过多层级的角色管理会导致整体访问控制管理的复杂性和困难。

附加资源

• 核心概念
  • 角色和权限策略
• 快速入门
  • 更新用户角色
  • 创建自定义角色
• 参考指南
  • 权限策略操作和资源
  • 权限策略示例