我正在研究各种类型的访问控制模型。到目前为止，我遇到了MAC，ABAC和RBAC，其中RBAC和ABAC是受欢迎的。但它们都不适合作为所有现实场景的完整解决方案。
这就是为什么多次提出RBAC和ABAC 的混合模型的原因。我仍然无法理解这种混合模型以及该模型如何克服RBAC和ABAC的缺点。
答案 0 :(得分：0)
ABAC本身就是独一无二的，因为它可用于实施RBAC策略。当人们参考混合RBAC / ABAC模型时，他们意味着仍然在身份管理系统中管理角色和许可，例如LDAP，但您现在依靠策略（例如XACML）来驱动实际授权。
应用仍然可以直接使用这些角色，但可能会依赖PEP进行授权决策。
答案 1 :(得分：0)
这不是一个容易回答的问题。缺点在于支架。但是，对于RBAC的局限性，存在一些普遍持有的信念。例如，“角色爆炸”问题。我写的这篇文章描述了该问题以及如何在Apache Fortress RBAC解决方案中解决该问题。免责声明，我是Apache Fortress项目的参与者。
https://iamfortress.net/2018/07/07/towards-an-attribute-based-role-based-access-control-system/