Authorization

Успешный login отвечает «кто предъявил доказательство», но не «можно ли читать, менять или удалять этот объект».

1. 01

   Access-control policy разрешает операции только тем users или processes, которым они назначены и нужны для approved functions.

   Граница применимости: NIST SP 800-53 Rev. 5 AC family.

2. 02

   Authentication подтверждает контроль над authenticator, а authorization отдельно решает доступ к resource и action.

   Граница применимости: Authentication versus access-control decision.

1. Назовите principal.
2. Укажите resource и action.
3. Проверьте policy и context.

• Первичная спецификация

  Security and Privacy Controls for Information Systems and Organizations

  National Institute of Standards and Technology · NIST SP 800-53 Rev. 5, Release 5.2.0

  Содержит controls для authorization, least privilege, separation of duties, privileged functions и protection of audit information.

  Открыть первоисточник ↗
• Первичная спецификация

  Authentication and Authenticator Management

  National Institute of Standards and Technology · NIST SP 800-63B-4, July 2025

  Задаёт authentication factors, authenticator lifecycle, MFA и phishing-resistant authentication requirements.

  Открыть первоисточник ↗
• Первичная спецификация

  Federation and Assertions

  National Institute of Standards and Technology · NIST SP 800-63C-4, July 2025

  Определяет роли IdP и RP, federation assertions, trust agreements и authenticated session at the RP.

  Открыть первоисточник ↗