Autorisierungs

Autorisierung ist der Prozess, durch den festgelegt wird, ob eine gegebene Identität berechtigt ist, eine bestimmte Aktion auszuführen oder auf eine Ressource zuzugreifen. Sie folgt auf die Authentifizierung, bei der die Identität bestätigt wird, und dient dem Schutz von Systemen, Daten und Diensten durch kontrollierten Zugriff.

Zentrale Konzepte der Autorisierung sind Berechtigungen, Rollen, Attribute und Richtlinien. Rollenbasierte Zugriffskontrolle (RBAC) ordnet Berechtigungen Rollen zu, attributbasierte Zugriffskontrolle (ABAC) entscheidet anhand von Attributen wie Abteilung, Zeit oder Standort. Weitere Modelle sind DAC (Discretionary Access Control) und MAC (Mandatory Access Control). Prinzipien wie Least Privilege und Need to Know unterstützen sichere Zugriffskonzepte und die Trennung von Aufgaben (SoD).

Umsetzungsmethoden umfassen Zugriffskontrolllisten (ACLs), capability-basierte Zugriffskontrolle (CapBAC) sowie politik- und attributbasierte Entscheidungsprozesse. In modernen Umgebungen kommen Policy-Decision-Point (PDP) und Policy-Enforcement-Point (PEP) zum Einsatz, ergänzt durch zentrale Autorisierungsdienste in Cloud- oder API-Umgebungen (OAuth 2.0; OpenID Connect wird oft für Authentifizierung verwendet, trägt aber auch zur Autorisierung bei; XACML dient als Policy-Sprache).

Anwendungsgebiete sind Betriebssysteme, Unternehmensnetzwerke, Cloud-Dienste, APIs und Microservices. Eine effektive Autorisierung erfordert klare Richtlinien, regelmäßige Berechtigungsüberprüfungen und Auditierbarkeit, um Missbrauch zu verhindern und Compliance sicherzustellen.

Siehe auch: Authentifizierung, Zugriffskontrolle, RBAC, ABAC, OAuth.