Авторизация определяет, что может делать аутентифицированный пользователь. Аутентификация открывает дверь. Авторизация определяет, в какие комнаты вы можете войти. Сотрудник службы поддержки успешно входит в систему, но это не означает, что он может читать электронную почту генерального директора или изменять записи о заработной плате. Авторизация проверяет ее права доступа перед каждым запросом и запрещает все, что выходит за рамки ее роли.

Наиболее распространенные модели — это модели на основе ролей и на основе атрибутов. Управление доступом на основе ролей группирует разрешения по должностным функциям. Каждый бухгалтер получает одинаковый набор прав. Это просто и поддается аудиту, но может быть довольно грубым подходом. Управление доступом на основе атрибутов оценивает политики с учетом множества факторов: отдела, уровня допуска, времени суток и конфиденциальности ресурса. Подрядчик может получить доступ к файлам проекта в рабочее время с управляемого устройства, но не с личного ноутбука в полночь. Компромисс заключается в сложности. Политики на основе атрибутов сложнее писать и поддерживать. Большинство организаций начинают с ролей и добавляют атрибуты там, где риск это оправдывает. Принцип одинаков в обоих случаях: запрет по умолчанию, предоставление только необходимого и регулярный пересмотр предоставленных прав.

Передовые методы авторизации

• Отказ по умолчанию — ничего не разрешается, если явно не предоставлено разрешение.
• Принцип наименьших привилегий — минимальный доступ для выполнения работы.
• Разделение обязанностей — ни один человек не контролирует критически важный процесс от начала до конца.
• Регулярные проверки — отзыв доступа при изменении ролей.

Сбои авторизации происходят незаметно. Никто не замечает лишние разрешения, пока кто-то не начнет злоупотреблять ими или аудитор не обнаружит это.