量化 Azure RBAC 通配符权限过度扩展
密码学与安全
2025-07-02 v3
摘要
Azure RBAC 利用通配符权限来简化策略编写，但这种抽象往往会掩盖实际允许的操作集，并削弱最小权限保证。我们提出了 Belshazaar，一个两阶段框架，同时针对有效权限集问题和通配符权限扩散的评估。首先，我们通过上下文无关文法形式化 Azure 操作语法，并实现了一个编译器，将任意通配符展开为其显式操作集。其次，我们定义了一个超度量直径指标来量化通配符场景中的语义过度扩展。应用于微软官方的 15481 个操作目录，Belshazaar 揭示了大约 50% 的操作在关联非明显通配符时允许跨资源提供者访问，并且有效权限集是可有效计算的。这些发现表明通配符模式可能导致显著的权限膨胀，而我们的方法提供了一条可扩展的、基于语义的路径，以实现 Azure 环境中更严格的最小权限 RBAC 策略。
引用
@article{arxiv.2506.10755,
title = {Quantifying Azure RBAC Wildcard Overreach},
author = {Christophe Parisel},
journal= {arXiv preprint arXiv:2506.10755},
year = {2025}
}