[Alg] Role Based Access Control ownership *

[gvanh]

Hoi!

Al eerder heb ik topics gestart over RBAC (Role Based Access Control). Inmiddels ben ik de ontwikkeling van mijn RBAC implementatie gestart. Dit is voor gebruik in mijn CMS.

Nu snap ik van RBAC (denk ik) compleet het idee van permissies. Een permissie is de mogelijkheid om een operatie uit te voeren op een object. Hierbij kan je bij objecten binnen een CMS denken aan een 'pagina' of een 'map'. Het gaat dan om het abstracte 'idee' van 'pagina', 'map', niet om specifieke pagina's of mappen. Een operatie is zoiets als 'Bekijken', 'Bewerken', etc.

Wanneer je dus (bijvoorbeeld) de permissie krijgt om mappen te bekijken, dan kun je dus alle mappen bekijken. Maar hoe zit dat dan, wanneer je een gebruiker met een specifieke rol de mogelijkheid wil geven om alle mappen met product-pagina's te bekijken, maar niet de mappen met diensten-pagina's.

Nu heb ik al 'ns gelezen over het toevoegen van 'Areas' binnen je systeem, waarbij je gebruikers dus toegang kan geven tot een bepaalde 'area', maar dan moet je dus alle mappen en objecten weer in area's gaan indelen ... dat lijkt me niet helemaal handig. Bovendien krijg je dan wel een hele lange lijst met permissies.

Ik zit vast ... ik kan niet de vertaalslag maken van het RBAC systeem naar mijn eigen CMS ...

Wie helpt me uit de brand?

Alvast erg bedankt!

[Mithrandir]

Dat kun je doen door een Map weer een bepaald 'type' (of meerdere) mee te geven. En dan maak je voor ieder type een recht(enset) aan.

Daardoor kun je natuurlijk een redelijke lijst met rechten krijgen, maar als je alles netjes indeelt in roles zal je systeem daar niet van op z'n bek gaan.

[gvanh]

hmm... maar dan gaat de hele nauwkeurig-opgezette structuur van m'n systeem in 1 klap aan gort. En dat komt niet doordat het systeem niet flexibel is opgezet, maar puur omdat ik een bepaalde opzet voor ogen heb.

Ik heb nu een tabel met objecten, en al die objecten hebben een 'type'. En het zou onlogisch zijn om objecten twee types mee te geven (iets kan niet een appel EN een peer zijn). Als je bovendien voor alle objecten die een afwijkende rechten-toewijzing zouden moeten krijgen, een apart type moet maken, dan ben je wel erg intensief bezig met beheren. (Een bepaalde pagina bevat informatie die voor het moment voor niemand toegankelijk mag zijn behalve Kees: dan moet je dus een apart type aanmaken voor die ENE pagina, daar allerlei permissies voor aanmaken en vervolgens samen koppelen aan een nieuwe role, die aan Kees wordt gekoppeld) Dat moet toch handiger kunnen.

Is het niet mogelijk om iets te regelen met ownership?

- Je mag een operatie uitvoeren op een object als je daar een permissie voor hebt EN je eigenaar bent van dat object OF als er een "rol" eigenaar is van dat object, en jij hebt die rol.
- Elk object heeft twee eigendoms-toewijzingen: een gebruiker en een rol (in aansluiting op het *nix systeem).

Gaat dat werken, denk je?

[B-Man]

gvanh: ben je nog tot een interessante oplossing gekomen? Ik ben ook aan het stoeien met dit vraagstuk namelijk.

[Creepy]

1 oud topic kicken om je probleem opnieuw onder de aandacht te brengen lijkt me wel genoeg, denk je niet?