组织 ORGANIZATIONS-SCP原理介绍:显式拒绝和隐式拒绝的区别

时间:2024-11-16 13:24:34

显式拒绝和隐式拒绝的区别

Effect(效果)包含两种:Allow(允许)和Deny(拒绝),分别表示允许或拒绝执行某操作的权限。

当没有策略设置权限为Allow和Deny时,默认情况即为Deny权限,称为隐式拒绝。当有策略授权Allow权限,且没有其他策略Deny该权限时,Allow的权限才能生效。

如果策略设置权限为Deny,则为显式拒绝。显式的Deny始终优先于Allow。例如,父OU的SCP,它允许权限A、B和C,但是子OU的SCP允许权限A、B,拒绝权限C,则该子OU的账号以及以下层级的账号,均无法使用权限C。

用户在发起访问请求时,鉴权规则如下:

图3 系统鉴权逻辑图
  1. 用户发起访问请求。
  2. 系统优先寻找Deny指令。如果找到一个适用的Deny指令,系统将返回Deny决定。
  3. 如果没有找到Deny指令,系统将寻找适用于请求的任何Allow指令。如果找到一个Allow指令,系统将返回Allow决定。
  4. 如果找不到Allow指令,最终决定为Deny,鉴权结束。
support.huaweicloud.com/usermanual-organizations/org_03_0032.html