Контроль доступу: ACL, RBAC і ABAC – хто що може?

Коротко: Автентифікація з’ясовує, хто це, авторизація — що цій особі дозволено; поширені моделі — списки доступу (ACL), ролі (RBAC) та атрибути на основі правил (ABAC).

Докладніше: Два запитання часто плутають: автентифікація («Хто ти?», вхід) та авторизація («Що тобі дозволено?»). Для другого будь-якому застосунку потрібна модель дозволів.

Подробиці

ACL: списки керування доступом

Для кожного ресурсу є список людей/груп і дозволів.

RBAC і ABAC

RBAC прив’язує дозволи до ролей (наприклад, «редактор»); ABAC — до правил на основі атрибутів (відділ, час, місцезнаходження).

Див. також: автентифікація, найменші привілеї, OWASP Top 10