當門禁卡遇上AI臉部辨識：存取控制的日常戰爭

嘿！想像一下，你手上拿著公司的門禁卡，正要進入辦公室。「嗶」的一聲，門開了。這時候，你可能沒想到，你剛剛經歷的，就是一場小小的「存取控制」戰役。

門禁卡告訴系統「你是誰」，而系統根據你的身分決定「你能不能進門」。簡單吧？但在數位世界中，這個問題可複雜得多了！

今天我們要聊的，就是兩個在資訊安全領域中超級重要的存取控制模型：角色型存取控制(RBAC)和屬性型存取控制(ABAC)。這兩個模型就像是數位世界的門神，決定誰能進哪扇門，誰能看哪些資料，誰能按哪些按鈕。

如果你是資安人員、系統管理者，或者只是對「為什麼我不能存取那個資料夾」感到好奇的普通人，這篇文章絕對能讓你恍然大悟！

存取控制：數位世界的守門員

在深入探討RBAC和ABAC之前，我們先來聊聊「存取控制」這個概念。

存取控制，簡單來說就是「確保對的人能做對的事」的機制。它回答了兩個核心問題：

1. 你是誰？（身分驗證，Authentication）
2. 你被允許做什麼？（授權，Authorization）

第一個問題相對簡單，透過密碼、指紋、臉部辨識等方式解決。但第二個問題就複雜多了，這也是今天我們要討論的重點。

隨著資訊系統越來越複雜，企業規模越來越大，單純的「這個人可以/不可以」已經無法滿足需求。我們需要更精細、更有彈性的控制方式。於是，RBAC和ABAC這兩種模型應運而生。

RBAC：角色決定命運的世界

什麼是RBAC？

RBAC（Role-Based Access Control，角色型存取控制）是一種根據使用者在組織中的角色來分配權限的方法。簡單來說，就是「你是什麼角色，就能做什麼事」。

想像一下，如果公司是一齣戲劇，每個員工都扮演著不同的角色：CEO、部門經理、一般員工等。RBAC就像是劇本，規定了每個角色可以說哪些台詞、可以出現在哪些場景。

RBAC的運作方式

RBAC的運作流程相當直觀：

在RBAC系統中，管理員首先定義各種角色（如管理員、經理、一般使用者等），然後為每個角色分配適當的權限。最後，將使用者指派到相應的角色中。當使用者嘗試存取某資源時，系統會檢查其角色是否具有必要的權限。

RBAC的核心元素

RBAC系統包含三個核心元素：

1. 管理員：負責識別角色、授予權限並管理整個RBAC系統
2. 角色：根據使用者執行的任務將其分組
3. 權限：指派給每個角色的操作，規定使用者可以做什麼和不能做什麼

RBAC的類型

根據美國國家標準與技術研究院（NIST）的定義，RBAC可分為四種類型：

1. 平面RBAC：所有員工至少有一個角色定義權限，但有些人可能有多個角色
2. 階層式RBAC：資深層級決定角色如何協同工作，高階主管擁有自己的權限，也擁有下屬的所有權限
3. 約束式RBAC：增加職責分離，多人共同完成一項任務，確保安全性並防止欺詐活動
4. 對稱式RBAC：定期審查角色權限，並根據審查結果調整權限

醫院環境中的RBAC實例

讓我們以醫院為例，看看RBAC如何運作：

在醫院中，醫生、護士和實驗室技術員各自扮演不同角色：

• 醫生可以開立醫囑、閱讀醫囑、查看實驗室報告
• 護士可以閱讀醫囑、查看實驗室報告，但不能開立醫囑
• 實驗室技術員可以創建和閱讀實驗室報告

如果沒有RBAC，當醫院有數千名員工和數百種不同的資源時，權限管理將變得極其複雜。但有了RBAC，只需將每個員工指派到適當的角色，他們就會自動獲得相應的權限。

ABAC：屬性決定一切的新世界

什麼是ABAC？

ABAC（Attribute-Based Access Control，屬性型存取控制）是RBAC的進化版，它不僅考慮使用者的角色，還考慮多種屬性來決定存取權限。

如果說RBAC是根據你的「職稱」來決定權限，那麼ABAC則是綜合考慮你的「職稱」、「部門」、「位置」、「時間」甚至「當前系統負載」等多種因素。

ABAC的運作方式

ABAC使用布林邏輯（Boolean algebra）根據動態評估的屬性及其關係來授予或拒絕存取權限：

ABAC的核心屬性

ABAC系統考慮四類核心屬性：

1. 動作屬性：描述使用者嘗試對資源執行的操作，如核准、複製、刪除、編輯、讀取等
2. 環境/情境屬性：描述存取請求的廣泛情境，如存取位置、時間、通訊協定、威脅等級等
3. 資源/物件屬性：描述存取目標的特徵，如建立日期、所有權、檔案名稱、資料敏感性等
4. 主體/使用者屬性：描述嘗試存取資源的使用者特徵，如年齡、部門、職稱、安全許可等

ABAC的決策邏輯

ABAC使用if/then條件式來定義存取規則。例如：

• 如果使用者是財務部門的經理，且具有高級安全許可，則允許存取敏感財務報告
• 如果現在是非工作時間，且使用者從非公司網路存取，則拒絕所有敏感資料的存取請求
• 如果使用者嘗試在同一天內下載超過10個文件，則需要額外的授權確認

這種條件式邏輯使ABAC能夠實現極其精細的存取控制。

RBAC vs ABAC：誰更勝一籌？

讓我們通過一個詳細的比較表來看看RBAC和ABAC各自的特點：

RBAC的優缺點：簡單是把雙面刃

RBAC的優點

1. 簡單易懂：RBAC的概念直觀，易於理解和實施
2. 管理效率高：只需管理角色而非個別使用者，大幅減少管理工作
3. 處理能力需求低：決策過程簡單，不需要大量計算資源
4. 可建立存取階層：支援組織的自然階層結構，如經理自動擁有下屬的所有權限
5. 實作成本低：相較於其他模型，RBAC的實施和維護成本較低

RBAC的缺點

1. 角色爆炸問題：隨著組織複雜度增加，角色數量可能爆炸性增長
2. 跨部門協作困難：不同部門可能對角色有不同定義，造成協作障礙
3. 角色定義複雜：將使用者需求轉換為角色可能非常複雜
4. 特權膨脹風險：管理員可能指派不合適的角色或增加違反原則的新角色，導致安全漏洞
5. 缺乏情境感知：無法根據時間、位置等情境因素動態調整權限

ABAC的優缺點：精細控制的代價

ABAC的優點

1. 精細的控制能力：可以制定非常具體和精細的存取控制原則
2. 靈活的規則定義：管理員可以定義、增強和管理許多變數，提供出色的控制
3. 豐富的屬性選擇：可以從大量屬性中選擇，制定最適合的規則
4. 無需為新使用者修改規則：新使用者自動適用現有規則，無需額外配置
5. 動態決策能力：可以根據實時情況（如時間、位置、系統狀態）動態調整權限

ABAC的缺點

1. 實施與維護耗時：定義變數和設定存取控制原則十分費力，尤其是剛開始時
2. 專業知識需求高：管理ABAC解決方案所需的專業知識資源有限
3. 管理複雜度高：ABAC系統的管理可能困難又耗時
4. 可能影響系統性能：實時評估多種屬性可能對系統性能造成影響
5. 規則衝突風險：隨著規則數量增加，可能出現規則衝突，導致意外的存取結果

誰適合用RBAC？誰適合用ABAC？

適合使用RBAC的情境

RBAC特別適合以下情況：

1. 中小型企業：組織結構相對簡單，角色定義明確
2. 外部使用者較少的組織：主要管理內部員工的存取權限
3. 角色定義明確的環境：如醫院、學校等具有明確職責分工的組織
4. 資源分類簡單的系統：資源類型較少，存取模式相對固定
5. 預算有限的項目：需要在有限資源下實施有效的存取控制

舉例來說，一家50人的軟體公司，可能只需要定義「開發人員」、「設計師」、「專案經理」、「行政人員」和「高階管理層」五種角色，就能有效管理所有資源的存取權限。

適合使用ABAC的情境

ABAC則更適合以下情況：

1. 大型企業：組織結構複雜，需要精細的存取控制
2. 分散式使用者環境：使用者分布在不同地點，有不同的存取需求
3. 需要情境感知的系統：存取決策需要考慮時間、位置等情境因素
4. 高度監管的行業：如金融、醫療、政府部門等需要嚴格合規的行業
5. 複雜資源分類的系統：資源類型多樣，存取模式複雜

例如，一家跨國銀行可能需要根據員工的部門、職級、所在國家、當地法規、客戶類型、交易金額等多種因素來決定誰能執行特定的金融操作。這種情況下，ABAC的精細控制能力就顯得尤為重要。

雙劍合璧：RBAC與ABAC的混合應用

在實際應用中，許多組織發現單純使用RBAC或ABAC都無法完全滿足需求。因此，混合模式應運而生。

為何考慮混合模式？

混合模式結合了RBAC的簡單性和ABAC的靈活性，能夠：

1. 降低實施複雜度
2. 提高存取控制的精確性
3. 平衡性能和安全需求
4. 更好地適應組織的特定需求

混合模式的實施方法

一種常見的混合方法是「以RBAC為基礎，以ABAC為補充」：

在這種模式下，系統首先根據使用者的角色分配基本權限（RBAC），然後根據使用者、資源和環境的屬性動態調整這些權限（ABAC）。

例如，一位銀行經理（角色）通常可以批准貸款（基本權限），但系統會根據貸款金額、客戶風險評級、當前時間和經理的位置等屬性來決定是否需要額外的授權。

存取控制的實施架構

無論是RBAC、ABAC還是混合模式，實施存取控制通常涉及兩個關鍵組件：

1. 政策執行點（Policy Enforcement Point, PEP）：負責攔截存取請求，並根據PDP的決策允許或拒絕存取
2. 政策決策點（Policy Decision Point, PDP）：負責評估存取請求並做出決策

在這個架構中，執行與決策分離，使系統更加模組化和可維護。PEP負責簡單的「是/否」執行，而PDP則負責所有複雜的決策邏輯。

未來趨勢：存取控制的新方向

隨著技術的發展和安全需求的變化，存取控制領域也在不斷演進。以下是一些值得關注的趨勢：

零信任安全模型

「零信任」（Zero Trust）安全模型正在改變傳統的存取控制思維。它的核心理念是「永不信任，始終驗證」，要求對每個存取請求進行嚴格的身分驗證和授權，無論請求來自內部還是外部網路。

RBAC和ABAC都可以在零信任架構中發揮作用，但ABAC的動態評估能力使其更適合這種模型。

AI與機器學習的應用

人工智慧和機器學習正在為存取控制帶來革命性變化：

1. 異常檢測：識別不尋常的存取模式，防止潛在的安全威脅
2. 行為分析：根據使用者的歷史行為動態調整權限
3. 自適應策略：自動調整存取控制策略以應對不斷變化的威脅環境

這些技術可以與RBAC和ABAC結合，創建更智能、更安全的存取控制系統。

雲端環境的挑戰

隨著越來越多的組織遷移到雲端，存取控制面臨新的挑戰：

1. 多雲環境：需要跨多個雲服務提供商一致地實施存取控制
2. 身分聯合：需要整合不同身分提供者的身分信息
3. 動態資源：雲資源可能快速創建和銷毀，需要動態調整存取控制

在這種環境下，ABAC的靈活性和動態特性使其成為更受歡迎的選擇，但實施複雜度也相應增加。

結論：選擇適合你的存取控制模型

在選擇RBAC、ABAC或混合模式時，沒有放之四海而皆準的答案。最佳選擇取決於你的組織規模、業務需求、安全要求和技術能力。

如果你的組織結構相對簡單，角色定義明確，預算有限，那麼RBAC可能是更好的選擇。它易於實施和管理，能夠滿足基本的存取控制需求。

如果你的組織規模較大，業務複雜，需要精細的存取控制，並且有足夠的技術資源，那麼ABAC或混合模式可能更適合。它們提供更大的靈活性和安全性，但也需要更多的投入。

無論選擇哪種模型，記住存取控制的核心目標：確保對的人在對的時間以對的方式存取對的資源。只有這樣，才能在便利性和安全性之間取得平衡，為組織創造真正的價值。

最後，存取控制不是一勞永逸的工作，而是需要持續評估和改進的過程。隨著組織的發展和技術的進步，你的存取控制策略也應該相應調整，以應對不斷變化的安全挑戰。

參考資料

1. SailPoint. (2024). RBAC 與 ABAC 的比較：定義和差異. https://www.sailpoint.com/zh-hant/identity-library/rbac-vs-abac-whats-the-difference
2. Okta. (2025). RBAC vs. ABAC: Definitions & When to Use. https://www.okta.com/identity-101/role-based-access-control-vs-attribute-based-access-control/
3. Keeper Security. (2024). RBAC 與ABAC：應該使用哪一個？ https://www.keepersecurity.com/blog/zh-hans/2024/10/28/rbac-vs-abac-which-should-you-use/
4. Aserto. (2023). RBAC vs ABAC: pros, cons, and example policies. https://www.aserto.com/blog/rbac-vs-abac-authorization-models
5. Citrix. (2022). ABAC vs. RBAC: What’s the difference? https://www.citrix.com/blogs/2022/05/17/abac-vs-rbac-comparison/
6. Logto. (2024). RBAC 和ABAC：你應該知道的訪問控制模型. https://blog.logto.io/zh-HK/rbac-and-abac
7. 騰訊雲. (2022). 權限管理系統RBAC和ABAC模型. https://cloud.tencent.com/developer/article/2054572
8. Authing. (2025). 選擇合適的權限模型. https://docs.authing.cn/v2/guides/access-control/choose-the-right-access-control-model.html