摘要：解決方案如圖所示，將軍令分塊，數(shù)據(jù)內(nèi)容權(quán)限平臺審批流平臺審計日志平臺提供各種靈活可插拔的服務(wù)，支持在通用服務(wù)的基礎(chǔ)基礎(chǔ)上進(jìn)行定制開發(fā)。

在大數(shù)據(jù)時代，數(shù)據(jù)已經(jīng)成為公司的核心競爭力。此前，我們介紹了美團(tuán)酒旅起源數(shù)據(jù)治理平臺的建設(shè)與實(shí)踐，主要是通過各種數(shù)據(jù)分析挖掘手段，為公司發(fā)展決策和業(yè)務(wù)開展提供數(shù)據(jù)支持。

近期，業(yè)內(nèi)數(shù)據(jù)安全事件頻發(fā)，給相關(guān)企業(yè)造成了無可挽回的損失，更為數(shù)據(jù)安全防護(hù)意識薄弱的企業(yè)敲響了警鐘。如何對公司內(nèi)部數(shù)據(jù)最為集中的數(shù)據(jù)分析、數(shù)據(jù)服務(wù)、數(shù)據(jù)治理等各種數(shù)據(jù)類產(chǎn)品進(jìn)行權(quán)限管控，已經(jīng)成為數(shù)據(jù)安全建設(shè)中最為重要的任務(wù)。

如果從控制力的角度來進(jìn)行劃分的話，權(quán)限管控可以分為功能級權(quán)限管控和數(shù)據(jù)級權(quán)限管控。早期的數(shù)據(jù)安全產(chǎn)品大多使用傳統(tǒng)的權(quán)限模型，只能實(shí)現(xiàn)功能級權(quán)限管控，無法進(jìn)行數(shù)據(jù)級權(quán)限管控?；跀?shù)據(jù)類產(chǎn)品更高的安全要求，我們需要構(gòu)建一個同時滿足各類產(chǎn)品數(shù)據(jù)安全的我們需要構(gòu)建一個同時滿足各類產(chǎn)品數(shù)據(jù)安全的平臺。

為此，美團(tuán)用戶平臺應(yīng)用研發(fā)組不僅設(shè)計了能表達(dá)和管控各種復(fù)雜關(guān)系的權(quán)限模型，還針對事前、事中、事后等三個場景，分別設(shè)計了審批、權(quán)限、審計三個子系統(tǒng)以保障數(shù)據(jù)安全的完整閉環(huán)，進(jìn)而滿足數(shù)據(jù)安全的各種要求。

功能應(yīng)用類產(chǎn)品的權(quán)限表達(dá)，一般為“是否有權(quán)限”，而數(shù)據(jù)類產(chǎn)品權(quán)限表達(dá)的關(guān)系更加復(fù)雜。例如數(shù)據(jù)類產(chǎn)品的報表，不僅需要表達(dá)出用戶能否訪問這個報表，而且需要表達(dá)出用戶能訪問報表中的哪些維度、指標(biāo)以及維值的范圍。還需要告知這些維度指標(biāo)來自于哪些庫表模型，是否有權(quán)限訪問以及創(chuàng)建報表。

傳統(tǒng)的權(quán)限模型有ACL（Access Control List）訪問控制列表，RBAC（Role-Based Access Control）基于角色的訪問控制等。以上模型比較適用于應(yīng)用類型產(chǎn)品的權(quán)限管控，而數(shù)據(jù)類型的產(chǎn)品對信息安全的要求更高，而且各類資源間的關(guān)系也更復(fù)雜，使用傳統(tǒng)的模型難以將內(nèi)部關(guān)系進(jìn)行清晰的表達(dá)，所以我們在RBAC權(quán)限模型的基礎(chǔ)上，擴(kuò)展設(shè)計了新的權(quán)限模型。

如圖2所示，傳統(tǒng)的權(quán)限模型：

ACL訪問控制列表，用戶與權(quán)限直接關(guān)聯(lián)，直接維護(hù)用戶與列表中資源的關(guān)系從而達(dá)到權(quán)限管控的目的。

RBAC模型則是角色與權(quán)限進(jìn)行關(guān)聯(lián)，用戶成為相應(yīng)的角色而獲得對應(yīng)的權(quán)限。

為什么要設(shè)計新的權(quán)限模型？

ACL模型是用戶與資源直接建立關(guān)系，沒有角色的概念。當(dāng)某些用戶需要一批同樣資源的權(quán)限時，賦權(quán)操作就變得很復(fù)雜，此時這種模型就不太適應(yīng)了。

RBAC模型引入了角色的概念，角色與資源建立關(guān)系。當(dāng)某些用戶需要一批同樣資源的權(quán)限時，只需要構(gòu)建一個角色并賦予使用這批資源的權(quán)限。當(dāng)用戶加入這個角色時，則擁有該角色的所有權(quán)限。解決了賦權(quán)操作復(fù)雜的問題。

不過ACL模型和RBAC模型，都存在以下幾個問題：

數(shù)據(jù)類產(chǎn)品資源之間關(guān)系復(fù)雜，不能很好地表達(dá)這種復(fù)雜的關(guān)系。例如：一個報表下有多個標(biāo)簽頁，一個標(biāo)簽頁下有多個組件，一個組件下有多個維度、指標(biāo)等。同時維度、指標(biāo)又來自不同的數(shù)據(jù)模型、庫表等。資源與資源之間存在關(guān)系，當(dāng)管理員給一個用戶賦予報表的全部或部分權(quán)限時，報表下的子資源需要同時獲得對應(yīng)的權(quán)限。

RBAC模型中角色與角色之間沒有對應(yīng)的關(guān)系。例如：組織架構(gòu)中，員工所在的組織架構(gòu)如下：華東區(qū)/銷售一區(qū)/銷售一組，員工擁有的角色是銷售一組的角色。當(dāng)角色之間沒有關(guān)系時，員工如果需要華東區(qū)角色的權(quán)限時，需要添加到華東區(qū)的角色中。而如果角色與角色之間具有從屬關(guān)系時，則能很好地解決這個問題。

新的權(quán)限模型是如何解決上面這些問題的：

設(shè)計資源模型時，資源與資源之間具有從屬關(guān)系，并且資源允許多層級，以樹形結(jié)構(gòu)展示。例如報表是一個父資源，標(biāo)簽、組件、維度指標(biāo)都是報表下的子資源，這樣賦權(quán)時能清晰地展示出報表資源與下面的子資源的關(guān)系，賦權(quán)和鑒權(quán)時才能滿足各種權(quán)限控制的要求。

角色與角色之間具有從屬關(guān)系，例如員工在華東區(qū)/銷售一區(qū)/銷售一組的組織架構(gòu)中，華東區(qū)/銷售一區(qū)/銷售一組這3個角色之間分別具有父子級的從屬關(guān)系，當(dāng)員工在銷售一組部門下，則擁有華東區(qū)、銷售一區(qū)、銷售一組的所有權(quán)限。當(dāng)權(quán)限不沖突時則直接合并所有權(quán)限，沖突時則以“就近原則”進(jìn)行覆蓋。

如圖3所示，新的權(quán)限模型包含3個部分，用戶中心、資源中心、權(quán)限中心。

用戶中心：用戶管理、角色管理

角色分為個人、組織、自定義3種，一個用戶可以同時擁有多個角色，比如用戶默認(rèn)對應(yīng)一個個人角色，又可同時擁有在公司組織架構(gòu)中組織角色、在自定義組織的自定義角色。

角色支持多層級，滿足角色間權(quán)限繼承的表達(dá)方式。

用戶、部門信息Mafka（美團(tuán)基于Kafka開發(fā)的一個分布式消息中間件綜合解決方案）實(shí)時更新，每天ETL定時同步，保證人員入職、轉(zhuǎn)崗、調(diào)離權(quán)限實(shí)時同步。

資源中心：資源管理

資源類型支持自定義，在通用資源類型的基礎(chǔ)上支持自定義的資源接入，滿足各個系統(tǒng)不同資源的統(tǒng)一管控。

資源支持多層級，樹形結(jié)構(gòu)的資源展示方式便于資源的統(tǒng)一賦權(quán)鑒權(quán)；給一個報表資源賦權(quán)時，掛在報表下的維度、指標(biāo)等資源能統(tǒng)一獲得權(quán)限。

支持資源打包簡化賦權(quán)流程。

資源安全密級、資源負(fù)責(zé)人，支持按照資源配置不同的審批模板進(jìn)行權(quán)限自助申請。

權(quán)限中心：角色與資源的關(guān)系的多種策略表達(dá)

范圍策略：例如報表中的平臺維度的維值包括美團(tuán)和大眾點(diǎn)評，賦權(quán)時，支持按要求給用戶賦予部分或全部權(quán)限；鑒權(quán)時，按照規(guī)則解析為某人擁有某維度的部分或全部權(quán)限。

表達(dá)式策略：當(dāng)把報表給用戶賦權(quán)時，設(shè)置表達(dá)式為limit 10，表示當(dāng)前用戶在該報表其他權(quán)限的基礎(chǔ)上再進(jìn)行限制，只能返回前10條記錄。

權(quán)限自動合并：一個用戶擁有多個角色，多角色的同一資源的權(quán)限鑒權(quán)時按照規(guī)則自動合并；規(guī)則解析時，權(quán)限數(shù)據(jù)不沖突時取合集，沖突時按照優(yōu)先級取對應(yīng)的值。

黑白名單：支持按照特定的規(guī)則，對某人針對某資源全面開發(fā)和封禁，黑白名單策略的優(yōu)先級最高，其中黑名單高于白名單。

在建設(shè)數(shù)據(jù)安全平臺的過程中，主要面臨以下幾點(diǎn)挑戰(zhàn)：

隨著支持的業(yè)務(wù)線增加，通用平臺的不能滿足各個業(yè)務(wù)線的定制需求時，需要保證系統(tǒng)的靈活可擴(kuò)展。

提供一個通用的數(shù)據(jù)安全平臺，滿足大部分的數(shù)據(jù)安全的要求，保證系統(tǒng)的通用性。

權(quán)限系統(tǒng)作為一個高QPS訪問的系統(tǒng)，如何保證系統(tǒng)的高可用。

提供靈活可插拔的Plugin服務(wù)，在通用權(quán)限基礎(chǔ)上，滿足各個業(yè)務(wù)線靈活的權(quán)限管控要求。

提供一個通用的數(shù)據(jù)安全平臺，滿足基本的權(quán)限、審批、審計的基礎(chǔ)功能。

微服務(wù)架構(gòu)、核心與非核心服務(wù)分離、數(shù)據(jù)緩存降級滿足系統(tǒng)高可用。

如圖7所示，將軍令分3塊，數(shù)據(jù)內(nèi)容權(quán)限平臺、審批流平臺、審計日志平臺：

提供各種靈活可插拔的Plugin服務(wù)，支持在通用服務(wù)的基礎(chǔ)基礎(chǔ)上進(jìn)行定制開發(fā)。

提供基礎(chǔ)服務(wù)，滿足各種通用的數(shù)據(jù)安全要求。

提供管理工作臺，支持管理員對各種數(shù)據(jù)和規(guī)則進(jìn)行頁面管理和配置。

在滿足通用權(quán)限的基礎(chǔ)上，各個業(yè)務(wù)線難免會有定制的權(quán)限管控需求，于是設(shè)計了權(quán)限Plugin模塊。

通用服務(wù)提供用戶管理、資源管理、鑒權(quán)授權(quán)的服務(wù)，Plugin調(diào)用基礎(chǔ)服務(wù)實(shí)現(xiàn)特殊的權(quán)限管控。Plugin模塊的應(yīng)用和數(shù)據(jù)各自多帶帶管理，通過RPC方式調(diào)用通用服務(wù)實(shí)現(xiàn)靈活可插拔。后續(xù)Plugin模塊的服務(wù)支持各個接入的應(yīng)用多帶帶定制開發(fā)。

如圖8所示，通用權(quán)限的服務(wù)與Plugin的服務(wù)是分離的，支持多個Plugin服務(wù)靈活可插拔：

通用服務(wù)提供用戶、資源、鑒權(quán)授權(quán)等通用服務(wù)，大部分的系統(tǒng)基于通用服務(wù)即可實(shí)現(xiàn)權(quán)限管控要求。

Plugin服務(wù)基于通用服務(wù)對外提供的SDK進(jìn)行拓展，各個Plugin服務(wù)多帶帶部署，保證系統(tǒng)之間互相獨(dú)立。

最終的權(quán)限實(shí)現(xiàn)分層管控，分為核心數(shù)據(jù)層（用戶、資源、權(quán)限數(shù)據(jù)）和應(yīng)用層。核心數(shù)據(jù)層的數(shù)據(jù)由通用服務(wù)進(jìn)行管理，達(dá)到權(quán)限數(shù)據(jù)統(tǒng)一管控的要求。應(yīng)用層以Plugin服務(wù)方式接入，Plugin通過通用服務(wù)層對外的SDK進(jìn)行權(quán)限數(shù)據(jù)讀寫，達(dá)到定制的管控要求。應(yīng)用層的數(shù)據(jù)各自存儲，可以自定義管控規(guī)則。接口之間的調(diào)用通過BA認(rèn)證鑒權(quán)，保證服務(wù)之間調(diào)用的安全性。

通用權(quán)限系統(tǒng)架構(gòu)

使用微服務(wù)架構(gòu)設(shè)計，系統(tǒng)分為接入層、服務(wù)層、數(shù)據(jù)庫層、以及外部服務(wù)層。主要包含以下幾個核心服務(wù)：

用戶服務(wù)：主要包含用戶和部門信息同步、角色管理。

資源服務(wù)：包含資源注冊、資源定時同步、資源密級及管理員管理、資源包管理。

賦權(quán)服務(wù)：權(quán)限自助申請、管理員賦權(quán)。

鑒權(quán)服務(wù)：提供各種鑒權(quán)的SDK供使用方調(diào)用。

如圖9所示：

接入層：對外所有系統(tǒng)通過統(tǒng)一的SDK調(diào)用服務(wù)。

服務(wù)層：微服務(wù)架構(gòu)，各個服務(wù)之間互相之間提供服務(wù)。

數(shù)據(jù)庫層：合理利用緩存、數(shù)據(jù)降級，保證服務(wù)高可用。

集成公司公共服務(wù)，保證系統(tǒng)穩(wěn)健運(yùn)行。

審批系統(tǒng)架構(gòu)

提供通用的審批服務(wù)，提供多級審批模板，使用時選擇模板啟動審批流，審批系統(tǒng)按照啟動的參數(shù)進(jìn)行規(guī)則解析，自動適配對應(yīng)的審批流程?？s減接入流程支持一鍵接入。

如圖10所示：優(yōu)化審批接入流程，提供通用的審批服務(wù)，減少系統(tǒng)接入開發(fā)成本：

前期開發(fā)一個審批功能需要6個步驟，繪制流程圖，配置審批的組和成員，配置通知的消息，配置事件映射，啟動審批流，開發(fā)回調(diào)接口改狀態(tài)。

而我們在平臺的審批服務(wù)基礎(chǔ)上進(jìn)行封裝，提供通用的審批模板，接入審批系統(tǒng)只需要選擇模板啟動審批流，并提供回調(diào)接口即可。能滿足大部分的審批功能。

提供通用的規(guī)則解析引擎，支持審批人、審批條件、審批通知按照規(guī)則動態(tài)解析匹配。靈活實(shí)現(xiàn)自動審批、多人多級審批、定時催辦等多種通用功能。

對接權(quán)限和審計系統(tǒng)，保證審批系統(tǒng)數(shù)據(jù)安全：

對接權(quán)限系統(tǒng)，提供管理員權(quán)限管控。

對接審計系統(tǒng)，操作數(shù)據(jù)落到審計系統(tǒng)便于后續(xù)的數(shù)據(jù)審計。

審計系統(tǒng)架構(gòu)

提供通用的數(shù)據(jù)審計服務(wù)，客戶端日志埋點(diǎn)上報，審計日志按類型落到Elasticsearch中存儲。對接如意可視化報表出審計報告，對接權(quán)限系統(tǒng)管控數(shù)據(jù)權(quán)限。

如圖11所示：審計數(shù)據(jù)模型層支持自動擴(kuò)展：

每個應(yīng)用對應(yīng)一個appkey，每個appkey按照模板分日期自動創(chuàng)建一個索引，支持自動擴(kuò)展。

每種類型的審計日志對應(yīng)Elasticsearch索引中的一個type，新增一種操作日志時，type自動創(chuàng)建。

審計日志中的字段對應(yīng)type中的字段，新增字段時自動擴(kuò)展。

微服務(wù)架構(gòu)服務(wù)分離

隨著系統(tǒng)的模塊功能越來越多，單一架構(gòu)模式已不再適合敏捷開發(fā)，模塊越來越大系統(tǒng)啟動則越慢，任一模塊出錯則整個系統(tǒng)的服務(wù)都不可用。

為了保證服務(wù)的高可用和擴(kuò)展性，于是以微服務(wù)架構(gòu)把模塊進(jìn)行拆分，并把核心與非核心服務(wù)進(jìn)行分離。

如圖12所示：

前端接入層通過HTTP接入，BA認(rèn)證校驗(yàn)請求合法性，通過Nginx負(fù)載均衡。

管理控制臺，通過調(diào)用服務(wù)層的各個服務(wù)實(shí)現(xiàn)統(tǒng)一管理。

服務(wù)層，抽象系統(tǒng)各個模塊，每個模塊都是一個微服務(wù)，每一個微服務(wù)都獨(dú)立部署，可以根據(jù)每個服務(wù)的規(guī)模按需部署。

Client層，對外提供統(tǒng)一的Pigeon（美團(tuán)內(nèi)部分布式服務(wù)RPC通信框架）接口，通過POM引入調(diào)用服務(wù)層各個服務(wù)。

權(quán)限繼承

由于資源支持多層級，設(shè)計權(quán)限模型時支持權(quán)限繼承，當(dāng)賦權(quán)時開啟繼承，則用戶默認(rèn)擁有該資源以及下面所有資源的全部權(quán)限，數(shù)據(jù)存儲時只需要存儲祖先資源與用戶之間的關(guān)系。大大減少了權(quán)限矩陣大小。

權(quán)限數(shù)據(jù)存儲

接入的系統(tǒng)越多，則資源和用戶就越多。隨著系統(tǒng)運(yùn)行越久，對應(yīng)的權(quán)限數(shù)據(jù)也會隨之快速增長。如何在數(shù)據(jù)增長的同時保證接口的性能和高可用。

權(quán)限備份與恢復(fù)

參照HBase的版本號和MySQL的Binlog的設(shè)計思路，賦權(quán)時權(quán)限只存儲當(dāng)前用戶最新權(quán)限數(shù)據(jù)，歷史權(quán)限數(shù)據(jù)和操作記錄用版本號的方式存儲到Elasticsearch中。用戶鑒權(quán)時只需要查詢MySQL的權(quán)限數(shù)據(jù)即可，保證鑒權(quán)接口的高效性。

如圖14所示：

賦權(quán)操作時，通過版本號管理權(quán)限數(shù)據(jù)，每次操作后版本號加1，MySQL和Redis中只存儲最新的權(quán)限數(shù)據(jù)。

歷史權(quán)限數(shù)據(jù)通過版本號的方式存儲到Elasticsearch中，每次查看歷史操作記錄或恢復(fù)權(quán)限數(shù)據(jù)時，根據(jù)版本號回溯即可。

權(quán)限過期清理

通過Crane定時調(diào)度，根據(jù)配置的通知規(guī)則，掃描即將過期的權(quán)限數(shù)據(jù)，發(fā)送消息通知用戶進(jìn)行權(quán)限續(xù)期。

掃描已過期的權(quán)限數(shù)據(jù)，清理MySQL和Redis中的過期權(quán)限數(shù)據(jù)，并轉(zhuǎn)儲到Elasticsearch中保存，已備后續(xù)的權(quán)限審計。

數(shù)據(jù)讀寫分離、緩存、備份以及服務(wù)熔斷降級

各個服務(wù)使用MySQL分庫存儲，使用Zebra（美團(tuán)數(shù)據(jù)庫訪問層中間件）進(jìn)行讀寫分離；合理使用數(shù)據(jù)緩存與備份，并支持服務(wù)的熔斷降級，以保證服務(wù)的高可用。

如圖15所示：

各個服務(wù)使用MySQL分庫存儲；核心服務(wù)與非核心服務(wù)分離，服務(wù)和數(shù)據(jù)庫支持按需彈性拓展。

角色、資源等熱點(diǎn)數(shù)據(jù)使用Redis做緩存，并在Redis緩存不可用時自動下沉到MySQL進(jìn)行查詢。

操作記錄和歷史數(shù)據(jù)等不活躍數(shù)據(jù)落地到Elasticsearch，以便審計和數(shù)據(jù)恢復(fù)。

服務(wù)不可用時支持熔斷降級，以保證核心服務(wù)的可用性。

合理使用消息隊列、任務(wù)調(diào)度、線程池、分布式鎖

使用消息隊列、任務(wù)調(diào)度、線程池進(jìn)行異步、削峰、解耦合，減少服務(wù)響應(yīng)時間，提升用戶體驗(yàn)。并使用分布式鎖保證數(shù)據(jù)一致性。

如圖16所示：

使用消息隊列處理用戶請求，實(shí)時返回操作成功，后臺根據(jù)接受到的MQ消息異步進(jìn)行處理并修改狀態(tài)，頁面輪詢狀態(tài)展示最終結(jié)果或發(fā)送大象（美團(tuán)內(nèi)部通訊工具）消息進(jìn)行最終結(jié)果推送。

需要定時同步的任務(wù)通過Crane分布式任務(wù)調(diào)度平臺進(jìn)行定時調(diào)度執(zhí)行。

審批回調(diào)時使用線程池處理審批結(jié)果回調(diào)與失敗重試，較少創(chuàng)建銷毀線程的開銷。

分布式鎖，保證同一個方法在同一操作上只能被一臺機(jī)器上的一個線程執(zhí)行，避免用戶重復(fù)提交或者多機(jī)器重復(fù)處理導(dǎo)致的數(shù)據(jù)不一致。

作為一個通用的數(shù)據(jù)安全平臺，各個業(yè)務(wù)線的各種定制需求不可能都滿足。目前在系統(tǒng)架構(gòu)上已支持提供多個可插拔的Plugin服務(wù)，在通用服務(wù)的基礎(chǔ)上實(shí)現(xiàn)定制的權(quán)限管控。后續(xù)將軍令將針對權(quán)限、審批、審計提供Plugin開發(fā)規(guī)范，支持接入的系統(tǒng)在現(xiàn)有的基礎(chǔ)上進(jìn)行定制開發(fā)。

如圖17所示：

后續(xù)將對外提供統(tǒng)一的Plugin開發(fā)規(guī)范，支持各個接入方系統(tǒng)以Plugin服務(wù)的形式在平臺基礎(chǔ)服務(wù)之上進(jìn)行定制開發(fā)，以滿足各自的特殊權(quán)限管控要求。從而實(shí)現(xiàn)數(shù)據(jù)產(chǎn)品權(quán)限集中管控確保數(shù)據(jù)安全。

把將軍令中的規(guī)則從現(xiàn)有的服務(wù)中分離出來，抽象出一個通用的規(guī)則引擎服務(wù)，實(shí)現(xiàn)規(guī)則靈活可配置。

夷山，美團(tuán)點(diǎn)評技術(shù)專家，現(xiàn)任TechClub-Java俱樂部主席，2006年畢業(yè)于武漢大學(xué)，先后就職于IBM、用友、風(fēng)行以及阿里。2014年加入美團(tuán)，長期致力于BI工具、數(shù)據(jù)安全與數(shù)據(jù)質(zhì)量工作等方向。

中華，美團(tuán)點(diǎn)評數(shù)據(jù)系統(tǒng)研發(fā)工程師，2017年加入美團(tuán)點(diǎn)評數(shù)據(jù)中心，長期從事于BI工具、數(shù)據(jù)安全相關(guān)工作。

最后插播一個招聘廣告，有對數(shù)據(jù)產(chǎn)品工具開發(fā)感興趣的可以發(fā)郵件給 fuyishan#meituan.com。

我們是一群擅長大數(shù)據(jù)領(lǐng)域數(shù)據(jù)工具，數(shù)據(jù)治理，智能數(shù)據(jù)應(yīng)用架構(gòu)設(shè)計及產(chǎn)品研發(fā)的工程師。

歡迎加入美團(tuán)大數(shù)據(jù)技術(shù)交流群，跟作者零距離交流。進(jìn)群方式：請加美美同學(xué)微信（微信號：MTDPtech02），回復(fù)：數(shù)據(jù)安全，美美會自動拉你進(jìn)群。