はじめに

Railsで利用できるアクセス制御ライブラリは、「Pundit」や「CanCanCan」というGemが人気でよく使われています。これらと比較するとあまり使われていない印象ですが、「CasbinRuby」というGemも存在します。

今回は「CasbinRuby」の導入・使用方法についてまとめます。

概要

CasbinRubyは、PERMメタモデル (Policy, Effect, Request, Matchers) に基づいてアクセス制御モデルを定義します。

subはアクセス元（例：ユーザー名）、objはアクセス先（例：データ名）、actはアクション（例：read/write）、eftはマッチング結果（省略すると常に許可される）を示します。

アクセス制御を行いたいシステムにアクセスがあったとき、アクセスをリクエスト定義に当てはめ、それがポリシー定義に適合しているかをマッチングルールで判定します。

CasbinRubyで使用する主なアクセス制御モデルのリクエスト定義およびポリシー定義は用意されています。

導入・使用方法

導入

Gemfileに以下を追記してbundle installを行います。

Gemfile

gem 'casbin-ruby'

使用方法

まず、CasbinRubyの設定ファイルを読み込むための初期設定を行います。

config/initialize/casbin.rb

require 'casbin-ruby'

Casbin::Config.setup do |config|
  config.model = "path/to/model.conf"
  config.adapter = "path/to/policy.csv"
  config.watcher = Casbin::SomeWatcher
  config.logger = Logger.new($stdout)
end

enforcer = Casbin::Enforcer.new

次にモデル定義ファイルを作成します。今回はACLモデルを使用します。

path/to/model.conf

# Request definition
[request_definition]
r = sub, obj, act

# Policy definition
[policy_definition]
p = sub, obj, act

# Policy effect
[policy_effect]
e = some(where (p.eft == allow))

# Matchers
[matchers]
m = r.sub == p.sub && r.obj == p.obj && r.act == p.act

同様にACLモデルのポリシー定義ファイルを作成します。

path/to/policy.csv

p, alice, data1, read
p, bob, data2, write

モデル定義ファイルのポリシー定義で定めた通り、最初にポリシーを示すp、次にユーザー名、次にデータ名、最後にread/writeを記述します。

以上でCasbinRubyによるアクセス制御を行う準備が整いました。最後にこれらの定義ファイルを使用してアクセス制御を行う実装を行います。

実装箇所はどこでもいいのですが、今回はすべてのコントローラーの親であるApplicationControllerのBeforeActionとしてCasbinRubyによるアクセス制御を行う実装を追加します。

app/controllers/application_controller.rb

class ApplicationController < ActionController::Base
  before_action :authorize?

  def authorize?
    subject = @request.user.name
    object  = @request.data
    action  = @request.action

    return if Rails.application.config.enforcer.enforce(subject, object, action)

    raise NotFoundError
  end
end

@request変数の中にアクセス元のユーザー名やアクセス先のデータ名などの情報が格納されていることとします。

これらの情報を引数にしてRails.application.config.enforcer.enforce()メソッドを呼び出すことでマッチングが行われ、その結果が真偽値で返されます。

まとめ

アクセス制御モデルをサポートする認可ライブラリ「CasbinRuby」の導入・使用方法についてまとめました。

「CasbinRuby」はACL以外にも様々なアクセス制御モデルが用意されています。例えばAPIサーバーのアクセス制御ではRESTfulモデルを使用することができます。

本記事を参考にして「CasbinRuby」を使っていただければと思います。