身份与访问
授权
别称: AuthZ, 访问控制
定义
在身份认证完成后,决定该身份对哪些资源、可以执行哪些操作以及在何种条件下被允许的过程。
授权 (AuthZ) 紧跟在认证之后:当用户、服务或设备证明身份后,系统需判断其是否可对特定资源执行所请求的操作。决策可基于角色 (RBAC)、属性与策略 (ABAC)、安全分类 (MAC) 或所有者意愿 (DAC),通常由策略引擎根据主体、资源、操作和环境上下文进行评估。现代架构通过 OAuth 2.0 scopes、OpenID Connect claims、XACML、Rego/OPA 等方式将策略外置。授权缺陷或过度授权是数据泄露的主要原因之一,常见表现包括 IDOR、权限提升和 confused-deputy 攻击。
示例
- 向客服人员只读授权客户工单,但不开放计费数据。
- 签发只包含 "orders:read" 等有限作用域的 OAuth 2.0 访问令牌。
相关术语
身份认证
在授予访问权限前,验证某个实体(用户、设备或服务)确实是其所声称身份的过程。
基于角色的访问控制(RBAC)
一种将权限授予角色而非直接授予用户的授权模型,用户通过被指派到角色而继承相应权限。
基于属性的访问控制(ABAC)
一种通过对主体、资源、操作和环境属性进行策略评估,来决定是否允许访问请求的授权模型。
最小权限原则
一种安全原则,要求向每个用户、进程或服务仅授予其完成职责所必需的最少权限,绝不多余。
AAA 框架
由认证 (Authentication)、授权 (Authorization)、记账 (Accounting) 三个串联功能构成的基础访问控制模型。
OAuth 2.0
开放的授权框架,允许资源所有者在不共享凭据的情况下,授予第三方应用对 API 的有限范围访问。