34. 關於 RuBAC(Rule-based Access Control)、MAC(Mandatory Access Control)、DAC(Discretionary Access Control)、RoBAC(Role-Based Access Control)的描述，下列何者最「不」適切？
(A) RuBAC 根據安全規則來決定使用者是否有存取資源的權限
(B) MAC 是一種存取控制機制，其中存取權限由系統中的政策決定，不允許使用者或擁有者更改
(C) DAC 允許資源的擁有者或使用者決定誰可以存取該資源，提供較大的靈活性
(D) RoBAC 將存取控制權限分配給特定使用者，由存取控制規則決定

這題考驗對四種常見存取控制模型 (RuBAC, MAC, DAC, RBAC) 的理解。

我們逐一分析每個選項：

• (A) RuBAC (Rule-based Access Control) 根據安全規則來決定使用者是否有存取資源的權限

  • 適切。 RuBAC (Rule-based Access Control) 的核心就是一套預先定義的規則。這些規則可以很複雜，包含多種條件，例如使用者屬性、資源屬性、環境因素（時間、地點、IP 位址等）。當使用者嘗試存取資源時，系統會根據這些規則來判斷是否授予權限。

• (B) MAC (Mandatory Access Control) 是一種存取控制機制，其中存取權限由系統中的政策決定，不允許使用者或擁有者更改

  • 適切。 MAC 是一種高度嚴格的存取控制模型。權限的授予完全由系統的中央安全策略（通常基於主體和客體的安全級別或分類標籤）強制執行。即使是資源的擁有者或一般系統管理員，也無法隨意修改這些權限。它旨在防止資訊洩漏，常見於高安全環境（如軍事、政府）。

• (C) DAC (Discretionary Access Control) 允許資源的擁有者或使用者決定誰可以存取該資源，提供較大的靈活性

  • 適切。 DAC 的主要特點就是由資源的擁有者（或建立者）來決定其他使用者對該資源的存取權限。這種模式提供了高度的靈活性，因為擁有者可以根據自己的意願授予或撤銷權限。但這種靈活性也可能導致權限管理混亂或不當授權。

• (D) RoBAC 將存取控制權限分配給特定使用者，由存取控制規則決定

  • 不適切。 這裡的 "RoBAC" 應該是 RBAC (Role-Based Access Control) 的筆誤。
    • RBAC (Role-Based Access Control) 的核心是將權限分配給「角色」，而不是直接分配給特定「使用者」。使用者被指派一個或多個角色，從而繼承該角色所擁有的權限。這大大簡化了權限管理，特別是在大型組織中。
    • 如果此處的 "RoBAC" 指的是 Role and Organization Based Access Control (ROBAC)，這是一個 RBAC 的擴展模型，用於處理跨組織的權限管理問題，仍然是基於角色的。
    • 而「將存取控制權限分配給特定使用者」並且「由存取控制規則決定」的描述，更像是對 DAC（擁有者分配權限）或甚至某些簡單的基於使用者列表的存取控制的描述，而不是 RBAC 的核心概念。RBAC 的優勢在於將權限與職責（角色）掛鉤，而不是與個體使用者掛鉤。

因此，最不適切的描述是 (D)。

答案是 (D)。