ABAC中PIP的认证方式及授权机制相关技术问询

问题1：PIP常用的认证方法有哪些？ #

PIP作为属性数据的核心提供者，常用认证方法覆盖不同安全需求与场景：

• 证书认证：采用X.509等标准证书，通过验证签名有效性、身份绑定关系确认访问者合法性，多用于高安全等级场景。
• 账号密码认证：最基础的身份校验方式，匹配访问者提交的用户名与密码和PIP存储的凭证信息。
• API密钥认证：通过预先分发的唯一密钥进行校验，适合服务间自动化调用PIP的场景，便于审计和管理。
• 令牌认证：支持JWT、OAuth2等令牌格式，PIP验证令牌的签名、有效期及内嵌的权限声明，适配分布式系统的身份流转需求。
• 集成身份源认证：对接LDAP、Active Directory等企业统一身份系统，复用现有身份体系完成认证，降低企业管理成本。

问题2：PIP的访问是否由ABAC授权？是否存在递归调用的情况？ #

关于ABAC授权的适用性 #

PIP的访问授权可以通过ABAC实现，但并非唯一选择：

• ABAC的多维度属性判断能力（访问者属性、资源属性、环境属性）非常适合PIP的细粒度访问控制需求，比如限制某IP段的用户仅能访问非敏感属性数据。
• 简单场景下也可使用RBAC等轻量模型，比如给管理员角色分配全量PIP访问权限，普通用户仅能查询自身属性。

递归调用的存在场景 #

多数情况下PIP授权仅依赖请求参数即可完成，但确实存在需要递归调用的情况：

• 嵌套属性依赖：授权判断所需的属性存储在另一个PIP中。例如，验证用户是否有权访问部门属性时，需要先调用另一个PIP获取用户所属部门信息，再回到原PIP完成授权判断。
• 动态权限计算：授权逻辑依赖动态生成的权限属性，而这些属性的生成需要再次查询PIP获取基础数据。比如，判断用户是否能访问敏感财务数据时，需先查询PIP获取用户岗位级别，再基于该级别查询PIP中的权限规则。
• 分布式PIP联动：在多PIP实例的分布式环境中，授权逻辑需要跨实例获取关联属性，可能触发递归调用。例如，跨地域的PIP实例分别存储用户基础信息和权限信息，授权时需要交替调用两个实例完成校验。

内容的提问来源于stack exchange，提问作者M. Koch