modelo rbac: dilema de acceso de usuario en dos roles
<p>estoy implementando el sistema de seguridad del modelo de control de acceso basado en roles (rbac) y tengo un dilema: un usuario1 está en role1 y está en role2. role1 permite el acceso al resource1 y role2 niega el acceso al mismo. es un problema bien conocido. alguien podría ayudarme, cómo resolverlo, quizás algunas explicaciones. cómo explicarle al usuario1 por qué no tiene acceso a algún recurso. hay alguna solución para superarlo inteligentemente.</p><p>gracias.</p>
<p>parece que está fusionando entre rbac y dac (control de acceso discrecional): <em> ¡denegar acceso</em> no se emplea normalmente en rbac, sino que proviene del mundo dac. f.e. es común ver una acl ntfs (lista de control de acceso) con deny en ella.</p><p>es posible que esté intentando implementar un modelo combinado (consulte el ejemplo en mi respuesta <a href="https://security.stackexchange.com/questions/346/what-is-the-difference-between-rbac-and-dac-acl/348#348">aquí</a> ) - p. ej. la construcción de una acl con ace (entrada de control de acceso) apuntando a roles. p.ej. usar grupos para otorgar acceso a carpetas ...</p><p>hay dos posibles soluciones que puede usar, tal vez incluso mix'n'match, dependiendo de lo que tenga sentido para su sistema (he construido y usado ambas, en diferentes contextos):</p><ul> <li>acl ordenada: es decir, la acl no es una gran pila de ace, pero están en un orden específico: más arriba en la lista tiene prioridad, siga evaluando ace hasta que encuentre un permit ace, <strong> o </strong> un deny ace para ese usuario. lo que sea primero en la lista, gana.</li> <li>deny ace anula todas las demás ace. es decir, si el usuario tiene acceso a través de role1, escanee la acl en busca de cualquier deny que se aplique al usuario, y luego role2 bloqueará el acceso pase lo que pase.</li> </ul><p>tenga en cuenta que es posible que no esté implementando esto con un modelo de acl estándar, sino que realmente solo verifique los roles de usuario; eso aún está bien, lo anterior aún se aplica (solo que es más difícil de visualizar y explicar).</p><p>la verdadera pregunta que debe resolver es: ¿qué tiene sentido para su sistema? ¿está intentando implementar sod (segregation/separation of duty)? si es así, está claro que deny debe anular cualquier permiso. si desea que el usuario configure esto (en cuyo caso su dac, no rbac), la primera opción brinda la mayor flexibilidad, ya que hay is una forma de evitarlo.</p>
el break point detiene el sistema, y habre el modo debug, si no tiene el privilegio para ver el modo debug, imagino que se quedara dando vueltas, o quisas se habre a la mala el modod debug!

esta es una de las pruebas que aun no tenido el honor de realizar ^^

al laboratorio…

updated.

1-cree un u… hay un rubí nombre del módulo de anfibios , lo cual facilita programática acceso a la herramienta de administrador de la interfaz web. puede que no tenga todas las características que usted necesita, pero usted puede agregar o utilizarlo como un ejemplo para escribir una biblioteca similar en otro idioma. aquí hay un ejemplo de script que se utiliza para habilitar o deshabilitar especificado por el usuario backend appservers en dos proxy equilibradores.# amphibian\_example.rb require 'amphibian' balancer\_hosts = ['b1.example.com', 'b2.example.com'] command = argv.shift backend\_hosts = argv balancer\_hosts.each do |balancer\_host| balancer\_url = 'http://#{balancer\_host}/balancer-manager' balancer = amphibian::balancermanager.new(balancer\_url) backend\_hosts.each do |backend\_host| backend\_url = 'http://#{backend\_host}' if command == 'enable' balancer.enable\_host(backend\_url) puts 'enabled #{backend\_host} on #{balancer\_host}' end if command == 'disable' balancer.disable\_host(backend\_url) puts 'disabled #{backend\_host} on #{balancer\_host}' end end end esto podría funcionar como$ amphibian\_example.rb disable a1.example.com a5.example.com disabled a1.example.com on b1.example.com disabled a5.example.com on b1.example.com disabled a1.example.com on b2.example.com disabled a5.example.com on b2.example.com Modelo y marca del equipo, y memoria ram, de lo contrario, solo puede decirse, que:

Existen modelos de equipos limitados a un tipo de memoria y frecuencia, de usar una mayor no es compatible. entiendo lo que dices, pero no has identificado tan solo el recurso que se esta consumiendo. te lo digo porque yo soy especialista en performance y es la manera de encontrar el root cause de un problema de rendimiento. si realmente estas seguro que alguna transacciós esta consumiendo gran parte de r… Cuando instalas un SO creas un usuario local y al convertirlo en un DC ese administrador local pasa a ser administrador del dominio, por lo que si inicias en modo seguro debería permitirte entrar con ese usuario.  
Hay una aplicación llamada Password Renew (incluida en el MiniPE v2k6) que sirve para restaurar la password de un usuario local o para crearte un usuario con permisos de administración, esta segunda opción será la que mejor te convenga.  
Con 2008 no la he probado, pero con 2000, XP y 2003 si funciona, por lo que es más que probable que con 2008 también te funcione.  
Antes de nada, intenta entrar con ese usuario en modo seguro CON funciones de red, a ver si así te deja.  
Un saludo y coméntanos que tal te va! Eso Depende de los tipos de controladores que tengas, te recomiendo que bajes el Everest para que sepas el tipo y lo puedas descargar de la pagina oficial o algun foro. Lo fácil es que pongas un botón de comando, o un botón en el ribbon (si usas uno personalizado) que te abra de nuevo el formulario para introducir el usuario y la contraseña. si hay muchos que se hacen varias cuentas en yahoo respuestas para responderse asi mismo, pero no dura mucho tampoco, por que se sabe quienes son, yo lei por ahi q una/o tal cañon mic hace eso......

yo estoy de parte de las dos posturas:

yo rara vez contesto algun apregunta qno me interesa, solo para obtener dos puntos y ser nvl 2 para hacer mas preguntas....

y hay veces q me tomo el tiempo de responder a alguna pregunta q me llame la atencion.....

pero tambien entiendo a las personas q quieren o pretenden ganar "fama" o lo que sea repondiendose y dandose puntos asi mismo, me hace ver la "astucia" (o sera "lo garca") de algunas personas, y su habilidad de poder llegar mas lejos haciendo trampa o cortando camino.

pf..lei por ahi qno andabas bien, espero q estes mejor !!!!
saludossss ejemplos:

1\. conflictos de liderazgo y poder.

2\. conflictos ético y de valores.

3\. conflictos de personalidad.

4\. conflictos de intereses.

5\. conflictos relacionales.

saludos! bueno diré cosas que me repugnan y las que me dan miedo.-gente aprovechada, de otros.(por lo que también entran los hipócritas y mentirosos)--violadores-gente ignorante me da miedo-perder a mis seres queridos.-sentirme menos.-sentir que pude dar más y no lo hice.