訪問控制型別

訪問控制（ access control ）就指在身份認證的基礎上，依據授權對提出的資源訪問請求加以控制。訪問控制是網路安全防範和保護的主要策略，它可以限制對關鍵資源的訪問，防止非法使用者的侵入或合法使用者的不慎操作所造成的破壞。

訪問控制型別有以下幾種：

自主訪問控制（ dac）

dac 主要是通過對乙個受限制的訪問物件的控制來實現資源保護的，它通常是用於使用者訪問系統中的檔案。

在這種型別的訪問控制中檔案的所有者可以控制其它的使用者是否可以訪問這個檔案，通常應用於 unix 系統。這種機制可結合訪問控制列表（ acl ）允許將許可權分配給同所有者在同一組的其它使用者。這種訪問控制不適用於有很多使用者的中型或大型組織。

它的缺點是不夠靈活，並且是可自由分配的沒有乙個**控制。

目前很多 unix 系統也已經不採用這種安全機制了，比如：從 solaris 8 開始採用了 rbac 機制； linux 也增加了基於角色的訪問控制功能到 linux 核心中。

強制訪問控制（ mac）

強制訪問控制是「強加」給訪問主體的，即系統強制主體服從訪問控制政策。

任何乙個使用者都不可能去操作乙個沒有通過管理員授權的物件。這種機制去除了 dac 中由使用者來自由分配的特點，而採用集中控制的方法。

這種機制的缺點是不太靈活，訪問許可權要分配給沒有使用者這就意味著當使用者更換機構時管理員有大量的工作要做。

基於角色的訪問控制（ rbac）

基於角色的訪問控制

（ role-based access control ）引入了 role 的概念 , 目的是解耦許可權和使用者的關係。

rbac 功能分為 4 部分：

1 、核心 rbac

使用者、角色和許可權的關係。 rbac 具有很大的靈活性：使用者與角色和許可權與角色的關係都是多對多的。

提供了管理事務，能知道使用者擁有哪些角色，角色對應到哪些許可權。

包含使用者會話概念，可啟用或失活某個使用者擁有的角色。

集中管理的安全控制。

2 、可繼承 rbac

rbac 提供兩種繼承：普通地層次，支援多重繼承；有限地層次，不支援多重繼承。

3 、靜態的職責分離

這一原則防止一些角色被新增到已經擁有其它的角色的使用者裡，以避免許可權衝突。這一標準不只規定了的對角色的限制，還能應用到許可權、操作和受保護的資源上。

4 、動態的職責分離

是 rbac 機制的一種擴張，意味著在使用者會話時實現責任的分離。

基於屬性的訪問控制（ abac）

abac 實現訪問控制也是基於角色和許可權的概念（類似 rbac 模式），同時也作用於使用者的屬性。允許將許可權和角色等變數引入使用者屬性中。