Authorization
Определение
Authorization (авторизация) — решение о том, разрешено ли уже опознанному пользователю или процессу выполнить конкретную операцию над конкретным ресурсом. Принимают его по политике управления доступом: операцию разрешают только тем, кому она назначена и нужна для утверждённых задач.
Также ищут: авторизация · проверка прав · access decision
Зачем это знать
Успешный вход отвечает на вопрос «кто предъявил доказательство», но не на вопрос «можно ли читать, менять или удалять этот объект».
Карта понятия
Что подтверждено
Политика управления доступом разрешает операции только тем пользователям или процессам, которым они назначены и нужны для утверждённых функций.
Граница применимости: Семейство мер AC стандарта NIST SP 800-53 Rev. 5.
Аутентификация подтверждает контроль над средством проверки, а авторизация отдельно решает вопрос доступа к ресурсу и действию.
Граница применимости: Аутентификация в сравнении с решением о контроле доступа.
Что проверить
- Назовите субъект.
- Укажите ресурс и действие.
- Проверьте политику и контекст.
Первоисточники
- Security and Privacy Controls for Information Systems and Organizations
Содержит controls для authorization, least privilege, separation of duties, privileged functions и protection of audit information.
- Authentication and Authenticator Management
Задаёт authentication factors, authenticator lifecycle, MFA и phishing-resistant authentication requirements.
Утверждения: 02
- Federation and Assertions
Определяет роли IdP и RP, federation assertions, trust agreements и authenticated session at the RP.