autorisasjonsobjekt

Et autorisasjonsobjekt er en definert enhet som representerer en tillatelse til å utføre bestemte operasjoner på en ressurs i et informasjonssystem. Det brukes i tilgangskontroll for å styre hva brukere eller systemkomponenter har rett til å gjøre, og under hvilke betingelser dette er gyldig.

Et autorisasjonsobjekt består typisk av flere komponenter: en ressursidentifikator som beskriver hva som kan aksesseres, en liste over tillatte operasjoner (for eksempel lese, skrive, slette eller kjøre), og eventuelle begrensninger eller kontekster (tid, sted, brukerattributter, IP-adresse, policykrav). Mange systemer kobler autorisasjonsobjektet til en policy som bestemmer om forespørselen skal godkjennes eller avvises.

I praksis brukes autorisasjonsobjekter i ulike tilgangsmodeller. I RBAC (rollebasert tilgangskontroll) tilordnes rettigheter til roller som igjen tildeles brukere; i ABAC (attributtbasert tilgangskontroll) evalueres rettigheter ut fra attributter og policyer. Autorisasjonsobjektet fungerer som den konkrete enheten som kontrollerer tilgang, og blir evaluert ved hver forespørsel om tilgang.

Livssyklusen for et autorisasjonsobjekt omfatter definisjon og lagring i et policy- eller entitlements-lagringssystem, tilordning til roller eller brukere, sanntidsut-evaluering ved tilgangsforsøk, logging av beslutninger og senere revisjon eller tilbakekalling av tilgang ved behov.

Eksempel: et autorisasjonsobjekt som gir rollen sykepleier tillatelse til å lese pasientjournaler i et elektronisk journalsystem innenfor arbeidstid og pasientens avdeling. Et annet eksempel: overføre midler opp til et beløp, forutsatt at transaksjonen er godkjent av to autoriserte parter eller en ekstra autentiseringsfaktor er vellykket.

Betegnelsen kan variere mellom organisasjoner, og på engelsk brukes ofte «authorization object» eller «entitlement». Hovedpoenget er at objektet presist definerer rettighetene og konteksten for tilgang, slik at de kan administreres og revideres.