Autorisatiecontroles

Autorisatiecontroles zijn mechanismen en processen die bepalen of een entiteit toestemming heeft om een bepaalde actie uit te voeren op een resource, zoals data, een applicatie of een systeem. In tegenstelling tot authenticatie, dat de identiteit vaststelt, draait autorisatie om de rechten die iemand of een systeem heeft. Autorisatiecontroles worden toegepast bij API’s, applicaties, databases en bestandssystemen en berusten vaak op een beleid of model dat aangeeft wie wat mag.

Veelgebruikte modellen zijn RBAC (rollen gebaseerd), ABAC (kenmerken zoals gebruiker, resource en context) en PBAC (beleid-gebaseerde controle). Bij elk verzoek wordt door een autorisatiecomponent beoordeeld of de gevraagde handeling is toegestaan en volgt toestemming of weigering. Voorbeelden: een API geeft een bewerking alleen als de rol toestemming heeft; een database retourneert data op basis van kolom- of rijrechten; een bestandssysteem laat openen alleen toe met geldige ACL-toegang.

Belangrijke principes zijn least privilege, need-to-know en het beperken van privileges in contextualisering (tijd, locatie, apparaat). Auditing is essentieel: vastleggen van toestemmingen en geweigerde verzoeken voor compliance en forensisch onderzoek, met periodieke herziening van beleidsregels.

Standaarden en technologieën die een rol spelen omvatten XACML en policy-engines, en in moderne applicaties vaak OAuth/OIDC voor toestemmingen op API-niveau, plus RBAC/ABAC-configuraties in IAM-systemen.