授权决定了已认证用户可以执行哪些操作。认证就像打开大门，而授权则决定了你可以进入哪些房间。例如，一位客服人员成功登录，但这并不意味着她可以查看CEO的电子邮件或修改工资记录。授权会在每次请求之前检查她的权限，并拒绝任何超出她角色范围的操作。

常见的访问控制模型是基于角色的和基于属性的。基于角色的访问控制按工作职能对权限进行分组。每个会计人员都拥有相同的权限集。这种方法简单易行且可审计，但可能不够精细。基于属性的访问控制则根据诸多因素评估策略：部门、权限级别、时间段以及资源的敏感性。例如，承包商可以在工作时间内通过受管设备访问项目文件，但不能在午夜通过个人笔记本电脑访问。这种方法的缺点是复杂性较高。属性策略的编写和维护难度更大。大多数组织会先从角色入手，然后在风险较高时再添加属性。两种方法的原则相同：默认拒绝，仅授予必要的权限，并定期审查授权。

授权最佳实践

• 默认拒绝——除非明确授权，否则任何操作均不允许。
• 最小权限原则——完成工作所需的最低访问权限
• 职责分离——没有任何一个人能够完全掌控关键流程。
• 定期审核——角色变更时撤销访问权限

授权失败往往悄无声息。除非有人滥用权限或审计人员发现，否则没人会注意到额外的权限。