auktorisointiin

Auktorisointi on tietoturvaprosessi, jonka tarkoituksena on määrittää ja myöntää käyttäjille, ohjelmistoille tai palveluille oikeudet suorittaa tiettyjä toimintoja tai käyttää tiettyjä resursseja. Se eroaa todennuksesta siten, että todennus vahvistaa identiteetin, kun taas auktorisointi päättää, mitä kyseiselle identiteetille on sallittua tehdä. Auktorisointi voidaan toteuttaa muun muassa käyttöoikeuksien, roolien ja ehtojen kautta.

Auktorisoinnissa määritellään politiikat ja säännöt, jotka ohjaavat oikeuksien myöntämistä ja rajoittamista. Tyypillisiä käsitteitä ovat käyttöoikeuslistat, roolit sekä attribuutit. Käytännössä järjestelmät hallitsevat, ketkä voivat lukea, kirjoittaa, muuttaa tai poistaa resursseja sekä millä ehdoilla näitä toimintoja saa suorittaa. Auktorisointi voidaan toteuttaa sekä staattisesti että dynaamisesti, riippuen kontekstista ja turvallisuusvaatimuksista.

Mallien ja menetelmien osalta yleisiä lähestymistapoja ovat DAC (discretionary access control), RBAC (role-based access control) sekä ABAC (attribute-based access control). DACissa oikeudet periytyvät käyttäjien omistajilta; RBACissa oikeudet määräytyvät roolien kautta; ABAC käyttää moninaisia attribuutteja, kuten käyttäjän asemaa, ajankohtaa ja tiliin liittyviä tietoja. Toteutuksessa käytetään usein ACL:ja (access control lists), roolipohjaisia valtuutuksia sekä attribuuttiperustaista pääsyä. Token-pohjaiset ratkaisut, kuten OAuth- ja JWT-tunnukset, voivat välittää valtuutustietoa palvelujen välillä.

Auktorisoinnin hallinta vaatii jatkuvaa ylläpitoa: oikeuksien minimointia, auditointia sekä politiikkojen päivittämistä muuttuviin tarpeisiin. Lopulta tarkoituksena on tukea turvallista pääsyä ja huomioida sekä käyttöoikeuksien hallinnan käytännöt että lainsäädäntövaatimukset.