1. 基於角色的許可權管理（Role-Based Access Control，RBAC）
在RBAC中，角色成為了使用者和許可權之間的代理層，這有助於解除使用者與許可權之間的直接耦合，使得許可權管理更加靈活和易於維護。當需要更改使用者的許可權時，管理員只需調整使用者所擔任的角色，而無需逐一修改每個使用者的許可權設定。
RBAC通常包含以下幾個關鍵元件：
- 使用者：系統的使用者，每個使用者都可以擁有一個或多個角色。
- 角色：一組許可權的集合，用於定義使用者在系統中可以執行的操作。角色可以根據組織結構、職位職責等因素來定義。
- 許可權：對系統資源或操作的訪問能力，如讀取檔案、修改資料庫等。
在RBAC中，許可權的分配和管理通常遵循以下原則：
- 最小許可權原則：為使用者分配完成任務所需的最小許可權，以減少潛在的安全風險。
- 職責分離：將不相容的職責分配給不同的角色，以防止單個使用者擁有過多的許可權。
此外，RBAC還可以支援角色的繼承、角色的層次結構等高階功能，以滿足更復雜的許可權管理需求。
總的來說，基於角色的許可權管理透過引入角色這一中間層，簡化了許可權管理的複雜性。
2. 基於策略的許可權管理（Policy-Based Access Control，PBAC）
RBAC提供了基本的角色和許可權管理框架，而PBAC則提供了更細粒度的許可權控制機制。
- 角色作為策略的基礎：在PBAC中，策略通常定義了誰（使用者或角色）可以對什麼（資源）執行什麼操作（許可權）。在這種情況下，可以將RBAC中的角色作為PBAC策略中的主體（Subject），從而根據角色來分配和管理許可權。這樣，策略可以基於角色來定義，而無需為每個使用者單獨定義策略。
- 策略增強角色許可權：儘管RBAC為角色分配了一組許可權，但PBAC可以進一步限制或擴充套件這些許可權。例如，可以定義一個策略，該策略允許某個角色在特定時間或特定條件下訪問某個資源。這樣，即使角色本身具有訪問許可權，但在不滿足策略條件的情況下，使用者也無法執行相應的操作。
- 動態許可權調整：PBAC允許根據實時條件動態調整許可權。這些條件可以包括時間、位置、使用者行為等多種因素。透過結合RBAC，可以在保持角色結構的基礎上，實現更靈活的許可權控制。例如，可以定義一個策略，該策略在工作時間允許某個角色訪問某個資源，而在非工作時間則限制訪問。
- 統一管理和審計：將PBAC和RBAC結合使用時，可以統一管理和審計許可權。這意味著管理員可以在一個統一的介面中管理角色、策略和許可權，同時記錄所有訪問和操作記錄以供審計。這有助於確保系統的安全性和合規性。
3. 自主訪問控制（DAC, Discretionary Access Control）：在此策略下，資源的所有者對其資源擁有自主權，可以自由決定其他使用者對其資源的訪問許可權。這種模型強調個人或實體對其所擁有資源的控制。
4. 強制訪問控制（MAC, Mandatory Access Control）：此策略中，系統管理員定義了一組強制性的規則，控制使用者對資源的訪問。這些規則通常是基於安全策略制定的，不允許使用者或資源的所有者更改。
5. 基於屬性的訪問控制（ABAC, Attribute-Based Access Control）：該策略根據使用者的屬性來控制訪問許可權。這些屬性可以是使用者的身份資訊、位置、時間等，使得許可權分配更加靈活和細緻。
6. 任務基礎的訪問控制（TBAC, Task-Based Access Control）：這種策略根據使用者當前的任務或角色來授予相應的許可權。使用者只能在特定任務或角色下獲得特定的許可權，以完成特定的任務。