土法炼钢 · 系统与基础设施

Linux 内核、存储与网络、可观测性、系统架构与大模型基础设施的工程笔记：机制拆解、踩坑复盘与可核对证据，少空谈。

rbac 标签归档

共 5 篇文章 · 返回首页

【Istio 控制面】PeerAuthentication / AuthorizationPolicy → filter chain 与 SDS：策略怎么变成 RBAC 与证书

2026-08-11 | network · kubernetes | #istio #istiod #peerauthentication #authorizationpolicy #rbac #sds #spiffe #mtls #ca

拆解 PeerAuthentication 如何落到入站 filter chain 的 mTLS 要求、AuthorizationPolicy 如何编译成 Envoy RBAC filter 的 permission/principal，以及 istiod CA 签发证书后 istio-agent 作为本地 SDS server 如何把 SPIFFE 身份证书喂给 Envoy；策略语义不重复展开，见零信任系列。

【身份与访问控制工程】IAM 全景：为什么这是高价值赛道

2026-06-13 | architecture · security | #iam #authentication #authorization #sso #oidc #oauth2 #scim #saml #jwt #passkey #rbac #abac #zanzibar #keycloak #zero-trust

从 2020 年 SolarWinds 到 2024 年 Okta 支持系统泄露，身份基础设施的安全失败反复证明一件事：IAM 不是 IT 支撑系统，而是安全架构的承重墙。本文建立现代 IAM 的全景地图——从认证协议、令牌体系、权限模型到身份治理与平台选型，给出 5 个贯穿全系列的核心问题。

【身份与访问控制工程】RBAC、ABAC、ReBAC：权限模型怎么选

2026-06-17 | architecture · security | #rbac #abac #rebac #authorization #permissions #role-explosion #policy-engine

RBAC 简单但会角色爆炸，ABAC 灵活但策略管理失控时更可怕，ReBAC 表达力强但引入了图遍历的性能约束。三种模型不是'选一个升级另一个'的线性关系，而是在表达能力、管理成本和性能三者之间做工程权衡。本文从每种模型的本质数据结构出发，拆解选型框架。

【身份与访问控制工程】B2B SaaS 多租户权限设计

2026-06-19 | architecture · security | #multi-tenant #b2b-saas #authorization #rbac #organization-tree #data-isolation #tenant-aware

多租户权限系统是 IAM 中工程复杂度最高的场景之一——每个租户想要自己的角色、自己的组织树、自己的审批流和完全隔离的数据。这四种需求会互相冲突。本文从租户隔离模型出发，拆解四层权限架构、租户级 RBAC 的扩展方案、组织树与数据权限的联动，以及跨租户授权（如第三方服务商访问客户数据）的架构设计。