autoryzacja

Autoryzacja to proces decydowania, czy użytkownik lub podmiot ma prawo wykonać określone działanie lub uzyskać dostęp do zasobu. W kontekście bezpieczeństwa informacji autoryzacja następuje po uwierzytelnianiu, czyli potwierdzeniu tożsamości użytkownika. Czyli najpierw identyfikuje się użytkownika, a potem sprawdza jego uprawnienia do wykonania operacji lub dostępu do danych.

Główne koncepcje obejmują modele kontroli dostępu. W modelu opartej na rolach (RBAC) dostęp przydzielany jest na podstawie przypisanych ról. W modelu opartym na atrybutach (ABAC) decyzje podejmowane są na podstawie cech podmiotu, zasobu i kontekstu. Kontrolę dostępu można też opisywać za pomocą list kontroli dostępu (ACL) lub polityk centralnych. W praktyce często stosuje się połączenie tych podejść i mechanizmów, aby zapewnić elastyczność i skalowalność.

Proces autoryzacji zwykle przebiega w kilku krokach: identyfikacja użytkownika, weryfikacja uprawnień zgodnie z polityką dostępu, a następnie dopuszczenie do zasobu lub odmowa. W środowiskach sieciowych i aplikacjach często wykorzystuje się tokeny dostępu, sesje i mechanizmy takich standardów jak OAuth 2.0, XACML czy kontrole oparte na roli i kontekście (context-aware access).

Zasada minimalnych uprawnień i regularna weryfikacja przydziałów są kluczowe dla ograniczania ryzyka nieuprawnionego dostępu. Autoryzacja różni się od uwierzytelniania tym, że odpowiada na pytanie "kim mam być i co mogę zrobić?", podczas gdy uwierzytelnianie odpowiada na "czy to ja?".