在信息安全领域，访问控制模型演进是每个架构师必须掌握的决策框架。从早期的自主访问控制（DAC）到最新的下一代访问控制（NGAC），每种模型都对应着特定的安全需求与操作场景。本文提供一条清晰的选型路径：先理解各模型的核心区别，再根据企业规模、合规要求和动态策略需求进行匹配。你将学会如何判断当前系统适合哪种模型，以及迁移到更先进模型时应注意哪些坑。
理解核心访问控制模型概述
访问控制模型决定了“谁”能对“什么资源”执行“什么操作”。最早出现的DAC模型允许资源所有者自行决定权限，ACL（访问控制列表）是其典型实现。随后强制访问控制（MAC）引入系统级安全标签，用户无法绕过。基于角色的访问控制（RBAC）通过角色简化权限管理，而基于属性的访问控制（ABAC）利用用户、资源和环境的属性进行动态判断。NGAC则统一了以上模型的优点，提供精细化的实时策略。
选型的第一步不是看功能清单，而是评估业务的两个核心维度：数据敏感度与用户复杂度。例如，金融核心系统要求高强度的访问隔离，而协作平台则需要灵活的权限委托。下文将逐步拆解每种模型的适用边界。
DAC与MAC：自主与强制的权衡
DAC（自主访问控制）是最早的模型，常见于文件系统。所有者可以赋予或撤销其他用户对文件的读、写、执行权限。例如在Linux中，chmod命令直接修改文件权限位。DAC的优势在于简单直观，适合小团队共享数据。但它的风险也很明显：用户容易误授予权限，导致信息泄露。比如一个实习生可能无意中把敏感文档设为“全局可读”。
MAC（强制访问控制）则相反，由系统根据预定义的安全标签（如“绝密”“机密”“公开”）强制决定访问。典型实现是SELinux和军事级加密系统。用户即使用户有权限，也无法修改标签。这种模型适用于高安全性环境，如国防或金融核心。但MAC的僵化也是问题：策略配置复杂，难以适应动态业务。例如，一个项目临时需要跨部门协作时，MAC需要管理员重新修改标签，响应周期长。
在实际选型中，如果数据分类明确且管理团队经验丰富，MAC是首选；如果业务需要频繁授权调整，DAC虽然危险但可通过审计弥补。但两者都无法满足细粒度、多属性的现代需求。
RBAC与ABAC：角色与属性的应用
RBAC（基于角色的访问控制）通过角色将用户与权限解耦。典型场景是企业ERP系统：定义“财务主管”“销售经理”等角色，每个角色分配一组权限，用户归属角色即可。RBAC降低了权限管理的复杂度，特别适合用户量大且岗位固定的组织。但RBAC的局限性在于角色爆炸：当业务细分到几百个角色时，角色继承和映射变得难以维护。例如，一个跨国公司可能需要按国家、部门、项目创建不同角色，最终角色数量远超预期。
ABAC（基于属性的访问控制）则通过用户属性（如部门、职级）、资源属性（如机密等级）、环境属性（如时间、地点）动态计算访问决策。它依赖策略引擎，支持“允许研发部门在上班时间访问代码仓库，但禁止下载源码”这类复杂规则。ABAC的灵活性极高，但实现成本也高：需要统一的属性目录和策略管理平台。常见于云原生架构中，如AWS IAM的权限策略。
选择RBAC还是ABAC，取决于策略变化的频率。如果策略基本稳定，RBAC足够；如果需求频繁变动，ABAC能避免角色膨胀。但ABAC的调试难度较大，策略冲突可能导致意外放行或拒绝。
NGAC：统一模型的出现
NGAC（下一代访问控制）由NIST提出，旨在融合DAC、MAC、RBAC、ABAC的优点。它的核心是“策略-资源-用户”的图结构，每个节点可附加属性，策略通过约束和关系实现。例如，一个文档可以同时受“部门可见”的RBAC约束和“时间限制”的ABAC约束。NGAC支持策略继承、委托和动态变更，同时保持高性能。
目前NGAC已在一些政企项目中试点，例如医疗影像系统：医生既能根据角色（RBAC）访问患者数据，又能依据紧急程度（ABAC）临时提升权限，同时系统强制记录所有操作（MAC追踪）。NGAC的实践难点是初期建模复杂，需要定义所有实体和关系。但一旦建好，维护成本远低于混合使用多个模型。
建议：如果企业正在从传统模型向零信任架构转型，NGAC是值得投资的未来方向。但需要评估团队的技术储备，尤其是图数据库、策略引擎相关经验。初期可以从一个非核心业务模块开始，验证后再推广。
选型指南与实施要点
选型路径可以简化为三步：第一步，列出所有访问控制场景，包括常态与异常。例如，是否需要外部用户临时访问？是否需要基于位置限制？第二步，匹配模型能力矩阵。DAC适用于小型协作，MAC用于高安全孤岛，RBAC用于角色稳定的业务，ABAC用于动态策略，NGAC用于统一管控。第三步，评估实施资源。模型越高级，对底层基础设施要求越高。例如，ABAC需要目录服务，NGAC需要图数据库。
常见误区有四个：一是误解DAC的简单性，将敏感系统暴露；二是认为RBAC万能，盲目建角色导致管理灾难；三是ABAC策略写成代码后缺乏测试，出现权限盲区；四是对NGAC期望过高，忽略初期建模成本。务必在选型过程中引入安全审计和业务方共同决策，避免纯技术判断。
最后，无论选择哪种模型，都应当建立权限的定期复核机制。访问控制不是一次性的配置，而是随着业务演进而持续调整的过程。理解从DAC到NGAC的演进逻辑，能帮助你更理性地设计安全架构。
参考资料
延伸阅读