Python RBAC 與 SSO 系統設計與實作

– 5 分鐘閱讀

RBAC 的核心概念在於角色的繼承與許可權的分配。透過建立角色繼承樹狀結構，可以有效管理不同層級的許可權，並簡化許可權分配的流程。實作上，使用 Python 的字典可以清晰地表達角色的繼承關係，並利用遞迴函式有效率地計算角色的累積許可權。此外，透過裝飾器，可以簡潔地將許可權檢查邏輯融入程式碼中，提升程式碼的可讀性和維護性。SSO 則著重於簡化跨應用程式的登入流程，提升使用者經驗的同時，也強化了整體系統的安全性。OpenID Connect 作為 OAuth 2.0 的延伸，提供了一個標準化的框架，讓開發者可以方便地整合 SSO 功能。實作上，需要妥善設定 OAuth 客戶端，並處理好授權碼的交換和使用者資訊的取得。

角色繼承許可權系統

在實際應用中，角色不一定是平面的，常常會有層次結構，其中高階別的角色會繼承低階別角色的許可權。為了實作這種層次結構的角色基礎存取控制（RBAC），我們需要構建一個能夠高效遍歷的繼承樹。

角色繼承樹的構建

我們可以使用字典來定義角色層次結構，其中每個鍵是角色名稱，值是該角色繼承的角色列表。

role_hierarchy = {
    "admin": ["manager", "user"],
    "manager": ["user"],
    "user": []
}

取得繼承許可權

為了取得某個角色的所有許可權，包括繼承的許可權，我們需要遍歷角色層次結構，並合並每個角色的許可權。

def get_inherited_permissions(role: str) -> set:
    """
    取得某個角色的所有許可權，包括繼承的許可權。

    :param role: 角色名稱
    :return: 該角色的所有許可權
    """
    perms = set(get_role_permissions(role))  # 首先取得該角色的直接許可權

    # 遍歷該角色的繼承角色，並合並其許可權
    for inherited_role in role_hierarchy.get(role, []):
        perms.update(get_inherited_permissions(inherited_role))

    return perms

許可權檢查

在進行許可權檢查時，我們需要考慮到角色的繼承關係。

def check_permission(user: dict, permission: str) -> bool:
    """
    檢查使用者是否具有某個許可權。

    :param user: 使用者資訊
    :param permission: 許可權名稱
    :return: True if 使用者具有該許可權，False otherwise
    """
    for role in user.get("roles", []):
        if permission in get_inherited_permissions(role):
            return True

    return False

裝飾器實作

為了方便地檢查許可權，我們可以使用裝飾器。

from functools import wraps

def requires_permission(permission: str):
    def decorator(func):
        @wraps(func)
        def wrapper(user: dict, *args, **kwargs):
            if not check_permission(user, permission):
                raise AuthorizationError(f"User {user.get('username')} lacks permission {permission}")
            return func(user, *args, **kwargs)
        return wrapper
    return decorator

範例使用

@requires_permission("delete")
def perform_delete_action(user: dict, item_id: str) -> str:
    return f"User {user['username']} performed delete on item {item_id}"

# Example usage:
if __name__ == '__main__':
    user_admin = {"username": "admin_user", "roles": ["admin"]}
    user_manager = {"username": "manager_user", "roles": ["manager"]}
    print(perform_delete_action(user_admin, "item_100"))
    try:
        print(perform_delete_action(user_manager, "item_101"))
    except AuthorizationError as e:
        print("Authorization error:", e)

這樣的實作方式可以有效地支援角色繼承和許可權檢查，提高系統的安全性和靈活性。

角色基礎存取控制（RBAC）系統的實作和最佳化

RBAC 系統的基本概念

角色基礎存取控制（RBAC）是一種根據角色的存取控制機制，透過將使用者對映到不同的角色，並授予每個角色特定的許可權，從而實作對資源的存取控制。RBAC 系統的核心是角色階層結構和許可權繼承機制。

實作 RBAC 系統

以下是一個簡單的 RBAC 系統實作示例：

def get_inherited_permissions(role):
    perms = set()
    for child in role_hierarchy.get(role, []):
        perms.update(get_inherited_permissions(child))
    return perms

def check_permission_hierarchical(user, permission):
    user_roles = user.get("roles", [])
    for role in user_roles:
        inherited_perms = get_inherited_permissions(role)
        if permission in inherited_perms:
            return True
    return False

def requires_permission_hierarchical(permission):
    def decorator(func):
        @wraps(func)
        def wrapper(user, *args, **kwargs):
            if not check_permission_hierarchical(user, permission):
                raise AuthorizationError(f"User {user.get('username')} lacks permission {permission}")
            return func(user, *args, **kwargs)
        return wrapper
    return decorator

@requires_permission_hierarchical("update")
def update_resource(user, resource_id):
    return f"User {user['username']} updated resource {resource_id}"

高階實作和最佳化

高階 RBAC 系統實作需要考慮到多個方面，包括：

  • 外部身份提供者整合：RBAC 系統可以整合外部身份提供者，如 LDAP 或 Active Directory，實作使用者角色和許可權的同步。
  • 稽核和日誌：RBAC 系統需要提供稽核和日誌功能，以便追蹤使用者的存取行為和許可權變更。
  • 實時監控和警示：RBAC 系統可以整合 SIEM 系統和警示框架，實作實時監控和警示。

以下是一個高階 RBAC 系統實作示例：

import logging

# 定義角色階層結構
role_hierarchy = {
    "admin": ["manager", "user"],
    "manager": ["user"],
    "user": []
}

# 定義許可權繼承機制
def get_inherited_permissions(role):
    perms = set()
    for child in role_hierarchy.get(role, []):
        perms.update(get_inherited_permissions(child))
    return perms

# 定義使用者角色和許可權檢查
def check_permission_hierarchical(user, permission):
    user_roles = user.get("roles", [])
    for role in user_roles:
        inherited_perms = get_inherited_permissions(role)
        if permission in inherited_perms:
            return True
    return False

# 定義裝飾器，實作許可權檢查
def requires_permission_hierarchical(permission):
    def decorator(func):
        @wraps(func)
        def wrapper(user, *args, **kwargs):
            if not check_permission_hierarchical(user, permission):
                logging.warning(f"User {user.get('username')} lacks permission {permission}")
                raise AuthorizationError(f"User {user.get('username')} lacks permission {permission}")
            return func(user, *args, **kwargs)
        return wrapper
    return decorator

# 定義更新資源函式，實作許可權檢查
@requires_permission_hierarchical("update")
def update_resource(user, resource_id):
    logging.info(f"User {user['username']} updated resource {resource_id}")
    return f"User {user['username']} updated resource {resource_id}"

# 示例用法
if __name__ == "__main__":
    user_manager = {"username": "manager_user", "roles": ["manager"]}
    user_basic = {"username": "basic_user", "roles": ["user"]}

    print(update_resource(user_manager, "res_200"))
    try:
        print(update_resource(user_basic, "res_201"))
    except AuthorizationError as e:
        logging.warning(f"Authorization error: {e}")

實作單點登入（SSO）機制

單點登入（SSO）是一種提供跨多個應用程式和域的無縫和安全身份驗證體驗的機制。在高階 Python 應用程式中，實作 SSO 涉及整合聯盟身份協定，建立分散式系統之間的信任關係，並確保會話管理以可擴充套件和安全的方式進行。

SSO 架構設計

在 SSO 系統中，主要目標是建立一個集中式身份提供者（IdP），它負責身份驗證並向服務提供者（SP）發放令牌或斷言。IdP 必須嚴格保護，因為其洩露將影響所有依賴應用程式。

實作 SSO

Python 框架可以用於構建或整合 IdP。當構建自定義 SSO 解決方案時，開發人員必須考慮安全令牌生成、加密簽名以及跨域邊界處理會話 Cookie。OpenID Connect 等標準尤其吸引人，因為它們支援身份驗證和授權工作流程。

SSO 流程

典型的 SSO 流程從使用者嘗試存取 SP 上的受保護資源開始。SP 將客戶端重定向到 IdP 的身份驗證端點，伴隨著狀態引數和回撥 URL。成功身份驗證後，IdP 傳回授權碼或令牌，SP 可以立即交換使用者身份和會話 CLAIM。

使用 Python 實作 SSO

from authlib.integrations.flask_client import OAuth
from flask import Flask, redirect, url_for, request, session
import os

app = Flask(__name__)
app.secret_key = os.urandom(24)

# 組態OAuth進行SSO使用OpenID Connect
oauth = OAuth(app)

使用 OpenID Connect 進行 SSO

OpenID Connect 是一種根據 OAuth 2.0 的標準，支援身份驗證和授權工作流程。以下是使用 OpenID Connect 進行 SSO 的示例：

from authlib.integrations.flask_client import OAuth
from flask import Flask, redirect, url_for, request, session
import os

app = Flask(__name__)
app.secret_key = os.urandom(24)

# 組態OAuth進行SSO使用OpenID Connect
oauth = OAuth(app)

# 定義OpenID Connect組態
oidc_config = {
    'client_id': 'your_client_id',
    'client_secret': 'your_client_secret',
    'authorization_url': 'https://your_idp.com/authorize',
    'token_url': 'https://your_idp.com/token',
    'userinfo_url': 'https://your_idp.com/userinfo'
}

# 註冊OpenID Connect客戶端
oauth.register(
    'openid_connect',
    client_id=oidc_config['client_id'],
    client_secret=oidc_config['client_secret'],
    authorization_url=oidc_config['authorization_url'],
    token_url=oidc_config['token_url'],
    userinfo_url=oidc_config['userinfo_url']
)

# 定義SSO路由
@app.route('/sso')
def sso():
    # 重定向到OpenID Connect授權端點
    return oauth.openid_connect.authorize_redirect(
        url_for('authorized', _external=True)
    )

# 定義授權路由
@app.route('/authorized')
def authorized():
    # 處理OpenID Connect授權碼
    token = oauth.openid_connect.authorize_access_token_response()
    # 取得使用者資訊
    user_info = oauth.openid_connect.userinfo()
    # 登入使用者
    session['user'] = user_info
    return redirect(url_for('index'))

# 定義索引路由
@app.route('/')
def index():
    # 驗證使用者登入狀態
    if 'user' in session:
        return 'Hello, {}!'.format(session['user']['name'])
    else:
        return redirect(url_for('sso'))

從系統安全架構的視角來看，本文探討的角色繼承許可權系統和單點登入（SSO）機制，是構建安全可靠應用程式的關鍵根本。分析段落中提供的程式碼範例，清晰地展示瞭如何利用 Python 實作 RBAC 的核心功能，包括角色繼承樹的構建、許可權檢查以及裝飾器應用，有效提升程式碼的可讀性和維護性。然而，僅僅實作基本功能並不足以應對複雜的真實場景。實務落地時，更需考量外部身份提供者整合、稽核日誌、實時監控和警示等進階議題，才能確保系統的完整性和安全性。展望未來，隨著微服務架構和雲原生應用的普及，更細粒度的許可權控制、跨平臺的身份驗證和授權，以及零信任安全模型的整合，將成為 RBAC 和 SSO 技術演進的重要方向。玄貓認為，開發者應持續關注這些新興趨勢，並積極探索更安全、更靈活的解決方案，才能在不斷變化的威脅環境中有效保護系統和資料安全。

玄貓

玄貓

技術愛好者，專注於分享程式開發、雲端技術與 AI 應用的心得體會。