Autorisierungskonzepte

Autorisierungskonzepte umfassen Ansätze und Mechanismen, die festlegen, ob eine identifizierte Entität eine gewünschte Aktion an einer Ressource durchführen darf. Sie folgen auf die Authentisierung und basieren auf Regeln, Rollen oder Attributen. Ziel ist es, den Zugriff sicher, nachvollziehbar und skalierbar zu steuern.

Zu den verbreiteten Modellen gehören RBAC (rollenbasierte Zugriffskontrolle), ABAC (attributbasierte Zugriffskontrolle), DAC (diskretionäre Zugriffskontrolle) und MAC (pflichtbasierte Zugriffskontrolle). RBAC ordnet Berechtigungen Rollen zu; ABAC nutzt Attribute von Subjekt, Objekt und Kontext; DAC und MAC unterscheiden sich in Zugriffslogik und Sicherheitsstufen. Policy-basierte Ansätze (PBAC/Policy-based Access) kombinieren Regeln und können flexibel auf neue Anforderungen reagieren. Vorteile dieser Konzepte sind feine Granularität, geringste Privilegien und bessere Auditierbarkeit; Herausforderungen sind Komplexität, Skalierung und Pflege konsistenter Policies.

Architekturkomponenten umfassen Policy Administration Points (PAP), Policy Decision Points (PDP) und Policy Enforcement Points (PEP). Attributbasierte Entscheidungen werden oft durch Identitätsanbieter, Verzeichnisse und Token (z. B. OAuth 2.0, JWT) unterstützt. Praktisch kommt häufig eine Kombination aus Rollen, Attributen und Token-gestützten Berechtigungen zum Einsatz, ergänzt durch Prinzipien wie Zero Trust und das Vier-Augen-Prinzip.

Anwendungsfelder reichen von Unternehmens-IT über Cloud- und API-Umgebungen bis hin zu Data-Governance. Wichtige Grundsätze sind Minimierung der Privilegien, zeitlich begrenzte Berechtigungen, regelmäßige Überprüfung von Policies und vollständige Auditierbarkeit.

---