NIST SP 800-210 云系统通用访问控制指南 译文由小师妹撰写整理， 分享出来用于广大圈友学习研究，由于个人水平有限，翻译如有错 误实属正常，恳请批评指正，切勿用于商业用途，谢谢。 摘 要 本指南介绍了云访问控制特征 和针对云服务模型 IaaS（基础设施 即服务） 、 PaaS（平台即服务）和 SaaS（软件即服务） 的一组通用访 问控制。不同的服务交付模型需要管理所提供服务组件上的不同访问 类型，可以将此类服务模型 分层看待 ，因此较低级别服务模型中功能 组件的访问控制指南也适用于较高级别服务模型中的相同功能组件。 通常来说，IaaS的访问控制指南也适用于 PaaS和SaaS，IaaS和PaaS 的访问控制指南同样 适用于 SaaS。但是，每种服务模型在本层 服务的 访问控制要求方面都有自己的 侧重点。 关键词： 访问控制；访问控制机制；云；云系统；策略； ABAC授权； RBAC 目 录 执行概要 ................................ ................................ ................................ . 5 一．介绍 ................................ ................................ ................................ . 7 1.1 目的 ................................ ................................ ............................ 7 1.2 范围 ................................ ................................ ............................ 8 1.3 受众 ................................ ................................ ............................ 8 1.4 文档结构 ................................ ................................ .................... 8 二. 云访问控制特征 ................................ ................................ .............. 9 三. IaaS模型的访问控制指南 ................................ .............................. 16 3.1 网络指南 ................................ ................................ .................. 17 3.2 管理程序指南 ................................ ................................ .......... 18 3.3 虚拟机指南 ................................ ................................ .............. 18 3.4 APIs 指南 ................................ ................................ ................ 19 3.5 对IaaS访问控制的建议 ................................ ........................ 20 四. PaaS模型的访问控制指南 ................................ ............................. 21 4.1 内存数据指南 ................................ ................................ ......... 22 4.2 APIs 指南 ................................ ................................ ................ 22 4.3 对PaaS访问控制的建议 ................................ ....................... 23 五. SaaS模型的访问控制指南 ................................ ............................. 24 5.1 数据所有者控制指南 ................................ ............................. 25 5.2 机密性指南 ................................ ................................ ............ 25 5.3 特权管理指南 ................................ ................................ ......... 26 5.4 数据多副本指南 ................................ ................................ ..... 26 5.5 多租户指南 ................................ ................................ ............ 26 5.6 属性和角色管理指南 ................................ ............................. 27 5.7 策略指南 ................................ ................................ ................ 27 5.8 APIs 指南 ................................ ................................ ................ 28 5.9 对SaaS访问控制的建议 ................................ ........................ 28 六. 云间和云内操作的访问控制指 南 ................................ ................. 31 七. 总结 ................................ ................................ ................................ 34 附录 A——本指南和 SP 800 -53修订版 4访问控制（ AC）系列映射 35 执行概要 随着时间的推移，云系统已经被开发出来， 并通过软件、 硬件组 件和虚拟化技术的组合进行了抽象 化。资源池、弹性扩展和按需付费 服务等云计算的特征加速了其被行业、 政府和学术界 的广泛采 用。具 体来说，就是云系统通过网络（通常是 Internet）为用户 提供了应用 程序服务、数据存储、数据管理、网络和计算资源管理。尽管云系统 取得了很大的进步， 但人们对其所提供服务的安全性和隐私级别仍然 感到担忧。考虑到越来越多的用户采用 了云服务，这些担忧显得更加 必要。 本文档介绍了云访问控制 （ AC） 的特性以及针对云服务模型 （ IaaS （基础设施即服务） 、 PaaS（平台即服务）和 SaaS（软件即服务）的 一组通用访问控制 指南。主要侧重于访问控制的技术方面，而不考虑 部署模型（例如：公有 云，私有云，混合云等）以及信任和风险管理 问题，这些问题需要进行不同层次的讨论，具体取决于部署的安全需 求、业务功能 以及云服务用户。 不同的服务交付模型需要考虑在提供 的服务组件上管理不同类 型的访问。这样的考虑可以是分层的，例如 较低级别的服务模型（例如： IaaS模型中的网络和存储 ）中功能组件 的访问控制考虑如何也适用于较高级别的服务模型中的相同功能组 件（例如， PaaS和SaaS模型中的网络和存储） 。通常 来说，IaaS的访 问控制考虑因素 也适用于 PaaS和SaaS，IaaS和PaaS的访问控制 考虑 因素同样适用于 SaaS。因此，针对 IaaS的访问控制 指南适用于 PaaS 和SaaS，针对 IaaS和PaaS的访问控制 指南也适用于 SaaS。但是，每 种服务模型在其服务的访问控