autorisatie

Autorisatie is het proces waarbij wordt beslist of een entiteit, zoals een gebruiker, een systeemcomponent of een applicatie, toegang krijgt tot een bron of functionaliteit. Dit besluit wordt genomen op basis van toegangsrechten, rollen, attributen of beleidsregels en vindt plaats nadat authenticatie heeft vastgesteld wie de entiteit is.

Belangrijke concepten zijn rechten, machtigingen, rollen en attributen. Toegangscontrolesystemen passen autorisatie toe via toegangscontrolelijsten (ACL’s), rollen gebaseerde toegang (RBAC) of attribuut gebaseerde toegang (ABAC), en soms via beleidsgebaseerde benaderingen. Moderne systemen maken vaak gebruik van tokens die machtigingen dragen, bijvoorbeeld bij OAuth 2.0 of OpenID Connect.

RBAC wijst aan gebruikers één of meer rollen toe, die op hun beurt concrete rechten geven. ABAC beslist op basis van attributen zoals afdeling, functie, tijd of locatie. ACL’s koppelen expliciete rechten aan individuele objecten. Beleidsgebaseerde controles kunnen centraal zijn geregeld en toegepast in combinatie met grote policy decision- en enforcementpunten.

Tijdens de operationele fase zorgt autorisatie ervoor dat iemand alleen toegang heeft tot wat nodig is, volgens het principe van least privilege. Het proces omvat doorgaans een aanvraag, evaluatie en toekenning, met mogelijke herroeping. Autorisaties kunnen statisch zijn of dynamisch, bijvoorbeeld via kortstondige tokens die verlopen.

Standaarden en praktijken die hierbij horen zijn onder meer OAuth 2.0, OpenID Connect en SAML voor gedistribueerde autorisatie en federatieve toegang. Belangrijke beveiligingsoverwegingen zijn onder meer verkeerde configuraties, privilege creep en het periodiek herzien van toegangsrechten.