问 AI 助教考点精讲
- DAC（Discretionary Access Control，自主访问控制）中资源所有者自主决定谁能访问，基于所有者身份灵活配置，如 Windows 文件 ACL，但易因误配或所有者疏忽导致越权；MAC（Mandatory Access Control，强制访问控制）由系统依据安全标签（安全级别）强制判定，主体不能自行更改权限，如军事系统，安全性高但灵活性差；RBAC（Role-Based Access Control，基于角色的访问控制）根据主体在组织中的角色分配权限，权限与角色绑定而非个人，商业组织常用，便于大规模管理。基于规则（Rule-Based）的访问控制用 ACL、防火墙规则等条件判断，通常归为 MAC 的一种实现。
记忆技巧
记「D 靠主人（Discretionary=所有者）、M 靠标签（Mandatory=强制标签）、R 靠角色（Role）」。
记三句话：DAC「东西归谁谁说了算」、MAC「系统按密级一刀切」、RBAC「按岗位配权限」。
记易混点：Rule-Based 靠规则条件（ACL/防火墙规则），RBAC 靠角色，别混。
记三句话：DAC「东西归谁谁说了算」、MAC「系统按密级一刀切」、RBAC「按岗位配权限」。
记易混点：Rule-Based 靠规则条件（ACL/防火墙规则），RBAC 靠角色，别混。
常见误区
- 把 RBAC 误当成 DAC——RBAC 权限绑定角色而非所有者，不是自主决定。
- 把 MAC 的「强制」理解成「更严格的管理」——MAC 特指「基于安全标签、主体不可自行更改」。
- 把 Rule-Based 与 RBAC 混淆——Rule-Based 靠规则条件（ACL），RBAC 靠角色。
真题思路
常见问题
Q：RBAC 和 MAC 谁更严格？
A：MAC 更严格，主体完全不能自行决定；RBAC 侧重管理效率。
Q：一个组织能同时用多种模型吗？
A：能，常组合使用，如 MAC 保高密级数据、RBAC 管日常业务权限。
Q：RBAC 是 DAC 吗？
A：不是，RBAC 权限绑定角色而非所有者，不是自主决定。
Q：MAC 的「强制」指什么？
A：指基于安全标签、主体不可自行更改权限。
Q：Rule-Based 和 RBAC 一样吗？
A：不一样，Rule-Based 靠规则条件（ACL），RBAC 靠角色。
相关知识
教材出处：Domain 5 · 身份与访问管理（IAM） 访问控制模型：DAC、MAC、RBAC