MAC 概览

概述

强制访问控制（MAC） 指由系统强制执行、用户无法绕过的访问规则。策略集中且统一；访问由 标签（例如许可级别、密级）决定，而不是由用户自行选择。

Casbin 中的 MAC 模型

Casbin 提供：

• BLP：机密性，“不上读，不下写”
• Biba：完整性，“不下读，不上写”
• LBAC：基于格，在一个模型中同时保证机密性和完整性

共同特点

• 集中的策略：规则作用于整个系统，而不是针对单个用户。
• 标签：主体和对象都有安全 / 完整性级别。
• 形式化规则：每个模型都有特定的保证（例如 BLP 中信息不会向上流动）。

什么时候使用 MAC

• 有密级划分的政府、军事或受监管环境
• 数据完整性和机密性同样重要的系统
• 多级安全（MLS）部署

各模型的语法和示例见链接的页面。