認可の用語は混乱している：5つの軸で整理する
Authorization terminology is a mess: Let's fix it
RBAC、ABAC、MAC、DAC、PBAC、ReBACなど、認可の用語は長年にわたり研究やベンダー、標準化団体で蓄積され、しばしば同じカテゴリのものとして比較されますが、実際には異なる質問に答えています。本記事では、認可システムを「誰がルールを決めるか」「どのデータで判断するか」「ルールの形はどうか」「データはどこから来るか」「どう評価・強制するか」という5つの軸に分解し、それぞれの用語がどの軸に対応するかを明確にします。これにより、用語の衝突を解消し、システム設計の議論をより正確に行えるようになります。
RBACとABACは、決定が何のデータに基づくかを表し、PBACは、その決定がどのように行われるかを表します。一方はルールの形についてであり、他方はルールがどこに存在し、誰が評価するかについてです。
HNでの議論
77- jiggawatts
OIDC標準が「認証アイデンティティトークンコードIDクッキー識別子」みたいな言葉や、同音異義語の微妙なバリエーションが様々な組み合わせと順序で散らばっているのが大好きです。
きっと誰かが、それがすべて完璧に理にかなっていると思ったのでしょう。
おそらく、「共感」と「同情」を混同せず、「すべき」と「べき」を注意深く区別する人でしょう。
- andrewshadura
閉じられないクッキーバナー。最高のウェブサイトエンジニアリングだ。
- nekusar
IETFやRFCレベルで修正しているのですか、それともこれは単に「我々の製品を買え、そしてそれはすべてを完全に解決する!!!!11」と言う別の方法ですか？
- black_knight
> この主体はこのオブジェクトに対してこのアクションを実行できますか？
私見では、この質問に答える最もエレガントな方法は、ケイパビリティベースのアクセス制御です。主体がアクションを発話できるなら、それを実行できます。そして、委任とは、発話を実行するための名詞と動詞の移転です。
- tuberreact
結局、命名は重要だということだ