NIST最新发布《NoSQL数据库访问控制》标准

执行摘要

NoSQL代表“不仅仅是SQL”或“非SQL”，通常指以关系表以外的格式存储数据的任何非关系数据库。它不再使用关系数据库（RDBMS）来处理巨大且不断增长的数据和基础设施需求，而是越来越多地将Web 3.0框架用于大数据和实时Web应用程序，包括处理文档、电子邮件和社交媒体等非结构化数据。NoSQL数据库对于管理存储在分布式和协作设备上的非结构化或非常大的数据对象特别有用。检索此类数据的用例范围从关键场景（例如，存储财务数据和医疗保健记录）到更随意的应用程序（例如，聊天日志数据、视频和图像、智能设备的读数）。主要的Web2.0公司已经开发或采用了不同风格的NoSQL数据库，以满足其不断增长的数据和基础设施需求。

NoSQL数据库系统和数据存储通常在各个方面优于传统的RDBMS，例如数据分析效率、系统性能、部署的易用性、数据管理的灵活性/可扩展性以及用户的可用性。然而，随着越来越多的人将敏感数据存储在NoSQL数据库中，安全问题已成为关键问题。NoSQL数据库存在漏洞，特别是由于缺乏对数据保护的有效支持，包括授权机制薄弱。由于访问控制是任何数据库管理系统DBMS的基本数据保护要求，本文档通过说明NoSQL数据库类型及其对访问控制模型的支持以及从访问控制的角度描述注意事项来讨论NoSQL数据库系统上的访问控制。

简介

NoSQL代表“不仅仅是SQL”或“非SQL”，通常指以关系表以外的格式存储数据的任何非关系数据库。它出现在21世纪末，由云计算和大数据等分布式系统的日益普及引发，这需要从关系数据库（RDBMS）转向NoSQL数据库。组织现在要处理巨大且不断增长的数据和基础设施需求，或者越来越多地将Web 3.0框架用于大数据和实时Web应用程序，包括处理文档、电子邮件和社交媒体等非结构化数据[AA，NO]。

NoSQL数据库对于管理存储在分布式和协作设备上的非结构化或非常大的数据对象特别有用。检索此类数据的用例范围从关键场景（例如，存储财务数据和医疗保健记录）到更随意的应用程序（例如，聊天日志数据、视频、图像和智能设备的读数）。亚马逊（Dynamo）、谷歌（BigTable）、领英（Voldemort）和脸书（Cassandra）等主要的Web 2.0公司已经开发或采用了不同风格的NoSQL数据库，以满足其日益增长的数据和基础设施需求。他们的成功启发了当今许多NoSQL应用程序[AA，CJ]。

NoSQL数据库系统和数据存储通常在各个方面优于传统的RDBMS，例如数据分析效率、系统性能、部署的易用性、数据管理的灵活性/可扩展性以及用户的可用性。然而，随着越来越多的人将敏感数据存储在NoSQL数据库中，安全问题已成为关键问题。NoSQL数据库存在漏洞，特别是由于缺乏对数据保护的有效支持，包括授权机制薄弱。由于访问控制是任何数据库管理系统（DBMS）的基本数据保护要求[FF]，本文档通过说明NoSQL数据库类型及其对访问控制模型的支持，并从访问控制的角度描述注意事项，讨论了NoSQL数据库系统的访问控制。请注意，访问控制系统可以在外部系统中存储和管理访问控制数据（例如，主题、对象、动作和属性），而不是在NoSQL数据库本身中，这具有广泛的不同实现方式，本文中没有讨论这些实现方式。

本文件的组织结构如下：

•第1节为引言，

•第2节概述了NoSQL数据库系统，

•第3节介绍了NoSQL数据库系统的访问控制模型，

•第4节从访问控制的角度描述了NoSQL系统的注意事项。

•第5节为结论，

•参考文献列出了本文件所引用的文章，

•附录A提供了Graph模型的应用示例。

原文始发于微信公众号（老烦的草根安全观）：NIST最新发布《NoSQL数据库访问控制》标准