auktorisationslagret

Auktorisationslagret är en arkitektonisk komponent inom informationssäkerhet som ansvarar för beslut om åtkomst till resurser och handlingar baserat på policyer och användares eller tjänsters attribut. Det används för att avgöra vad en användare eller en tjänst får göra i ett system efter att identiteten har bekräftats i en autentiseringsprocess.

Lagret kan vara centraliserat eller distribuerat över flera tjänster och komponenter. Vanligtvis ingår det i en säkerhetsskikt tillsammans med identitets- och behörighetsstyrning (IAM). När en begäran skickas till ett system kontrolleras den av auktorisationslagret som hänvisar till policyer och information om den begärande parten samt om resursen. Om villkoren uppfylls ges behörighet, annars nekas den.

Vanliga angreppssätt inkluderar rollbaserad behörighetskontroll (RBAC), där behörighet kopplas till roller, och attributbaserad behörighetskontroll (ABAC), där behörighet baseras på olika attribut hos användaren, resursen och sammanhanget. Policyerna kan lagras i olika format och ofta hanteras genom en policy-motor eller beslutspunkt (Policy Decision Point, PDP) som kommunicerar med en eller flera policyerslagret (Policy Enforcement Points, PEP). Vanliga teknologier och begrepp är XACML, Open Policy Agent (OPA) och olika mekanismer för medgivanden och tokens inom moderna identitetslösningar.

Behovet av ett effektivt auktorisationslager är särskilt viktigt i miljöer med många mikrotjänster eller resurser, där snabb och konsekvent åtkomstkontroll krävs. Viktiga överväganden inkluderar prestanda, realtidsbeslut, spårbarhet genom loggning och möjligheten att uppdatera policyer utan nedtid. Auktorisationslagret bidrar till principen om minsta privilegium och stödjer efterlevnad och revisionskrav.