授权与访问控制

概念

授权是指准确确定被验证方可以做什么的过程。访问控制是用于拒绝或允许访问的工具和系统，通常通过访问控制来实现授权。

访问控制

基本任务

• 允许访问
• 拒绝访问
• 限制访问（沙箱）
• 撤销访问

实施访问控制

访问控制表（Access Control List，ACL）

• 文件系统访问控制表
• 网络访问控制列表

基于能力（令牌）的访问控制

访问控制模型

• 自主访问控制（Discretionary Access Control，DAC）
• 强制访问控制（Mandatory Access Control，MAC）
• 基于规则的访问控制（rule-based access control）
• 基于角色的访问控制（Role-Based Access Control，RBAC）
• 基于属性的访问控制（Attribute-Based Access Control，ABAC）（验证码 CAPTCHA）
• 多级访问控制（multilevel access control）模型

最小权限原则

最小权限原则规定，你应该只给一方执行功能所需的最低访问等级。例如，组织销售部门的人员完成工作，应该无须访问组织人力资源系统中的数据。违反最小权限原则是当今许多安全问题的根源。

物理访问控制

• 尾随
• 安检
• 围栏