访问控制旨在通过身份标识、身份验证和授权来允许，拒绝，限制和撤销对资源的访问。在讨论数据访问管理时，我们必须先把物理访问和逻辑访问弄明白。物理访问是指建筑物，设备和文档，而逻辑访问是指计算机或系统访问。
访问管理概念
让我们仔细探讨一下安全和身份管理概念，这些概念已包含在某些身份管理协会认证计划和考试的范围内了。
身份标识
身份标识是一种能够确保主体（用户、程序或进程）就是其所声称实体的方法。
身份验证
身份验证是将实体提供的凭据与存储在系统上的实体信息进行比较以验证身份的过程。
授权
授权发生在实体的标识和身份验证发生之后，以确定允许他们执行的操作。授权是通过使用访问控制来实现的。
最小特权原则
最小特权原则规定，我们应该只允许对一个实体的最小访问权限，这个实体可以是用户、设备、帐户或进程，使其能够执行所需功能的实体。该概念也适用于计算机服务，这些服务可能被授予比通过不当编程运行系统所需的更多的访问权限和功能。
职责分离原则
职责分离原则是企业各业务部门及业务操作人员之间责任和权限的相互分离机制。主要目的是通过允许两个人完成一项任务来防止剥削和欺诈。例如，为了确保在线转移资金时的安全性，系统可能需要两个人进入系统并批准交易。
访问控制列表
访问控制列表或ACL是一个文件，通常指计算机文件系统，它将权限附加到对象或实体。ACL指定向哪些用户或系统进程授予对对象的访问权限，以及允许对象进行哪些操作。典型ACL中的每个条目都指定一个主题和一个操作。例如，如果一个文件对象有一个包含（Alice:read，write；Bob:read）的ACL，这将授予Alice读写该文件的权限，而Bob只读取该文件。
功能
如果ACL在给定身份和一组权限的情况下定义权限，那么基于功能的访问提供了一种完全基于我们拥有的东西（如令牌，通行证或密码）授予访问权限的替代方法。在基于功能的系统中，应用程序可以与其他应用程序共享定义其访问级别的令牌。
访问控制方法
根据访问控制方法，可以基于我们已知，拥有和存在的事物来授予访问权限。
例如，我们知道的是密码或token，我们拥有的是通行证，一直存在的是指纹或其他生物识别数据。
访问控制模型
常见访问控制模型包括：自主访问控制，强制访问控制，基于角色的访问控制和基于属性的访问控制。
自主访问控制
自由访问控制（Discretionary Access Control，DAC）是一种基于目标资源所有者确定访问权限的访问控制模型。资源的拥有者可以决定谁拥有访问权限，以及他们到底拥有哪些资源的访问权限。
强制访问控制
强制访问控制（Mandatory Access Control，MAC）是一种访问控制模型，其中资源的所有者无法决定谁可以访问它，而是由有权设置资源访问权限的组织或个人来决定谁拥有访问权限。我们经常可以在政府组织中发现MAC的实施，在这些组织中，对给定资源的访问主要由以下因素决定：
- 应用于数据（机密，最高机密等）的敏感标签，
- 根据个人被允许访问的敏感信息的级别，
- 通过个人是否真的有必要访问资源，这是最小特权原则。
基于角色的访问控制
基于角色的访问控制（Role-Based Access Control ，RBAC）是一种访问控制模型，与MAC相似，它的功能是由权限而不是资源所有者设置的访问控制。RBAC和MAC之间的区别在于RBAC中的访问控制是基于访问资源的个体角色。
基于属性的访问控制
基于属性的访问控制（ABAC）是基于属性的。这些属性可以是特定人员、资源或环境的属性。属性可以是主体（游乐园中人的身高）、资源（仅在特定操作系统或网站上运行的软件）或环境（一天中的时间或经过的活动时间长度）。
军事和政府组织可以使用多级访问控制模型，我们刚才讨论的简单访问控制模型可能不足以保护我们控制访问的信息。
物理访问控制
在讨论物理访问控制时，我们通常主要关注个人，设备和车辆的访问控制。
个人的访问控制通常围绕着控制个人进出建筑物或设施。我们可以看到许多建筑物实施此类控制，它们以通行证的形式来控制对设施的门禁。此类通行证通常配置在ACL上，以允许或拒绝可以将其用于哪些门并规定一天中可以使用的时间。
车辆的物理访问控制通常围绕着阻止车辆进入限制区域。
尾随
物理访问控制最常见的问题之一是尾随问题。当我们对物理访问控制措施进行身份验证时（例如，使用通行证时），就有可能发生尾随，然后另一个人直接跟随我们而未对其自身进行身份验证。
文章来源：https://www.identitymanagementinstitute.org/access-control-types-and-models/
历史文章