Autoritetshåndtering

Autoritetshåndtering, ofte omtalt som authorization management i engelsksprogede sammenhænge, omfatter processer, politikker og teknologier der styrer, hvem der har adgang til hvilke ressourcer, og under hvilke betingelser. Det er en central del af identitets- og adgangsstyring (IAM) og adskiller sig fra autentificering ved at fokusere på rettigheder og adgangsbegrænsninger snarere end på bekræftelse. Autoritetshåndtering anvendes til at beskytte data og systemer ved at sikre mindst privilegium og passende adgangsniveauer.

De grundlæggende modeller inkluderer rollebaseret adgangskontrol (RBAC), attributbaseret adgangskontrol (ABAC) og andre rammeværk som DAC eller MAC. RBAC tildeler rettigheder baseret på en stilling, ABAC baserer adgang på brugerens egenskaber og kontekst, mens policydrevne tilgange anvender generelle regler. Praktiske principper inkluderer mindst privilegium og behov-til-kendskab (need-to-know) samt adskillelse af pligter for at reducere risikoen for misbrug.

Praktiske komponenter omfatter identitetsprovisionering, rettighedsstyring, politikadministration, legitimationsstyring og adgangsgennemgang. Arbejdsflowet omfatter oprettelse og ændring af rettigheder, kommunikation af ændringer og øjeblikkelig tilbagetrækning af rettigheder ved ændringer i ansættelse eller rolle. Privileged access management (PAM) fokuserer på særlig høje privilegerede konti. Alle adgangsaktiviteter logges og kan auditeres af sikkerheds- og compliance-teams.

Teknologisk anvendes standarder og protokoller som OAuth 2.0 og OpenID Connect til autentificering og autorisation i moderne applikationer, samt SAML og XACML til politikstyring. SCIM anvendes til automatiseret brugerprovisionering og synkronisering mellem systemer. Udfordringer ved autoritetshåndtering inkluderer skala og kompleksitet i store organisationer, cloud- og SaaS-miljøer samt overholdelse af persondataregler som GDPR. En vellykket praksis kræver governance, klare eierskaber og regelmæssig revision af adgangsrettigheder.