yetkilendirme

Yetkilendirme, bir kullanıcının veya sistem bileşeninin belirli kaynaklar üzerinde hangi işlemleri yapabileceğine karar verilmesini sağlayan güvenlik sürecidir. Kimlik doğrulama ile birlikte çalışır; önce kimlik doğrulanır, ardından o kimliğe ilişkin yetkiler belirlenir ve kaynaklara uygulanır. Yetkilendirme politikaları, hangi kullanıcıların hangi bağlamlarda (örneğin uygulama, dosya, veritabanı) hangi işlemleri yapabileceğini tanımlayan kurallardır. Bu kurallar çoğunlukla gruplar, roller veya uygulama bağlamı gibi soyutlamalar üzerinden uygulanır.

Uygulanan modeller arasında Rol tabanlı erişim kontrolü (RBAC), Özellik temelli erişim kontrolü (ABAC) ve ayrıca DAC ile MAC gibi kavramsal yaklaşımlar bulunur. Erişim kontrolleri bazen ACL’ler (erişim listeleri) veya politika motorları kullanılarak uygulanır. En temel ilkelerden biri en az ayrıcalık (least privilege) ve gereklilik kadar bilgiye erişim (need-to-know) prensibidir; bağlamlar (zaman, konum, güvenlik durumu) kararları etkileyebilir.

Yetkilendirme süreci yaşam döngüsü genellikle talep, değerlendirme, yetkilendirme, iptal ve denetim adımlarını içerir. Kullanıcılar için düzenli olarak izinlerin gözden geçirilmesi, yetkilerin gerektiğinde kaldırılması ve yetki sızıntılarının önlenmesi, denetim ve uyum için önemlidir. İzinler yanlış yapılandırıldığında istenmeyen erişimler veya yetkinin devrilmesi görülebilir.

Uygulama alanında yetkilendirme, dosya paylaşımı, veritabanı erişimi, bulut hizmetleri ve uygulama entegrasyonlarında kritik rol oynar. Standart ve araçlar arasında OAuth 2.0 ve OpenID Connect (yetkilendirme akışları için), LDAP/Active Directory tabanlı kimlik ve yetkilendirme yönetimi, IAM çözümleri ile politika tabanlı motorlar bulunur. Doğru yetkilendirme yönetimi güvenlik risklerini azaltır ve operasyonel verimliliği artırır.