訪問控制是很多網(wǎng)站或者app都會(huì)應(yīng)用到的，可能大家都不是非常了解這種技術(shù)，其實(shí)我們生活中經(jīng)常使用到訪問控制的相關(guān)操作，不管你是用手機(jī)還是電腦，你在瀏覽網(wǎng)上或者發(fā)信息都是會(huì)用到訪問控制，只是方式有很多，我們都不清楚網(wǎng)站或者app背后的程序是怎么樣運(yùn)行的而已，目前但凡與網(wǎng)絡(luò)相連的東西都是會(huì)使用到訪問控制，因?yàn)檫@種技術(shù)是網(wǎng)站和app組成的關(guān)鍵技術(shù)。

  訪問控制

  訪問控制是給出一套方法，將系統(tǒng)中的所有功能標(biāo)識(shí)出來，組織起來，托管起來，將所有的數(shù)據(jù)組織起來標(biāo)識(shí)出來托管起來， 然后提供一個(gè)簡(jiǎn)單的唯一的接口，這個(gè)接口的一端是應(yīng)用系統(tǒng)一端是權(quán)限引擎。權(quán)限引擎所回答的只是：誰(shuí)是否對(duì)某資源具有實(shí)施 某個(gè)動(dòng)作（運(yùn)動(dòng)、計(jì)算）的權(quán)限。返回的結(jié)果只有：有、沒有、權(quán)限引擎異常了。

  訪問控制是幾乎所有系統(tǒng)（包括計(jì)算機(jī)系統(tǒng)和非計(jì)算機(jī)系統(tǒng)）都需要用到的一種技術(shù)。訪問控制是按用戶身份及其所歸屬的某項(xiàng)定義組來限制用戶對(duì)某些信息項(xiàng)的訪問，或限制對(duì)某些控制功能的使用的一種技術(shù)，如UniNAC網(wǎng)絡(luò)準(zhǔn)入控制系統(tǒng)的原理就是基于此技術(shù)之上。訪問控制通常用于系統(tǒng)管理員控制用戶對(duì)服務(wù)器、目錄、文件等網(wǎng)絡(luò)資源的訪問。

  訪問控制包括三個(gè)要素：主體、客體和控制策略

  （1）主體S（Subject）。是指提出訪問資源具體請(qǐng)求。是某一操作動(dòng)作的發(fā)起者，但不一定是動(dòng)作的執(zhí)行者，可能是某一用戶，也可以是用戶啟動(dòng)的進(jìn)程、服務(wù)和設(shè)備等。

  （2）客體O（Object）。是指被訪問資源的實(shí)體。所有可以被操作的信息、資源、對(duì)象都可以是客體。客體可以是信息、文件、記錄等集合體，也可以是網(wǎng)絡(luò)上硬件設(shè)施、無限通信中的終端，甚至可以包含另外一個(gè)客體。

  （3）控制策略A（Attribution）。是主體對(duì)客體的相關(guān)訪問規(guī)則集合，即屬性集合。訪問策略體現(xiàn)了一種授權(quán)行為，也是客體對(duì)主體某些操作行為的默認(rèn)。

  訪問控制的功能及原理

  訪問控制的主要功能包括：保證合法用戶訪問受權(quán)保護(hù)的網(wǎng)絡(luò)資源，防止非法的主體進(jìn)入受保護(hù)的網(wǎng)絡(luò)資源，或防止合法用戶對(duì)受保護(hù)的網(wǎng)絡(luò)資源進(jìn)行非授權(quán)的訪問。訪問控制首先需要對(duì)用戶身份的合法性進(jìn)行驗(yàn)證，同時(shí)利用控制策略進(jìn)行選用和管理工作。當(dāng)用戶身份和訪問權(quán)限驗(yàn)證之后，還需要對(duì)越權(quán)操作進(jìn)行監(jiān)控。因此，訪問控制的內(nèi)容包括認(rèn)證、控制策略實(shí)現(xiàn)和安全審計(jì)。

  （1）認(rèn)證。包括主體對(duì)客體的識(shí)別及客體對(duì)主體的檢驗(yàn)確認(rèn)。

  （2）控制策略。通過合理地設(shè)定控制規(guī)則集合，確保用戶對(duì)信息資源在授權(quán)范圍內(nèi)的合法使用。既要確保授權(quán)用戶的合理使用，又要防止非法用戶侵權(quán)進(jìn)入系統(tǒng)，使重要信息資源泄露。同時(shí)對(duì)合法用戶，也不能越權(quán)行使權(quán)限以外的功能及訪問范圍。

  （3）安全審計(jì)。系統(tǒng)可以自動(dòng)根據(jù)用戶的訪問權(quán)限，對(duì)計(jì)算機(jī)網(wǎng)絡(luò)環(huán)境下的有關(guān)活動(dòng)或行為進(jìn)行系統(tǒng)的、獨(dú)立的檢查驗(yàn)證，并做出相應(yīng)評(píng)價(jià)與審計(jì)。

  訪問控制應(yīng)用場(chǎng)景

  企業(yè)內(nèi)子用戶權(quán)限管理：企業(yè)內(nèi)不同職能部門的員工對(duì)該企業(yè)所屬的新網(wǎng)資源的訪問權(quán)限不同，需為其分配最小的訪問權(quán)限。

  場(chǎng)景：企業(yè)A在新網(wǎng)內(nèi)購(gòu)買了多種云資源，如云主機(jī)，云硬盤，云數(shù)據(jù)庫(kù)等。由企業(yè)內(nèi)的員工根據(jù)職能不同來分別管理這些資源。比如研發(fā)人員，測(cè)試人員，運(yùn)維人員，財(cái)務(wù)人員等，研發(fā)人員，測(cè)試人員可能需要分配的是不同的云主機(jī)，云硬盤和云數(shù)據(jù)庫(kù)的使用權(quán)限。運(yùn)維人員可能需要分配的是主機(jī)重啟，停機(jī)，數(shù)據(jù)庫(kù)備份等權(quán)限。財(cái)務(wù)人員可能需要的是賬單的管理權(quán)限和支付權(quán)限等。企業(yè)A的主賬號(hào)擁有者，也就是管理員，可以隨時(shí)根據(jù)人員變動(dòng)，變更或收回新網(wǎng)訪問權(quán)限。

  不同企業(yè)間的權(quán)限管理：不同企業(yè)間對(duì)資源和云服務(wù)的授權(quán)管理。

  場(chǎng)景：企業(yè)A和企業(yè)B，企業(yè)A在某平臺(tái)上購(gòu)買了多種資源來開展企業(yè)業(yè)務(wù)，但是企業(yè)A希望能夠?qū)Ｗ⒂跇I(yè)務(wù)的發(fā)展，而將某平臺(tái)資源的運(yùn)維和監(jiān)控交予企業(yè)B來完成。企業(yè)B可以通過把企業(yè)A資源的管理進(jìn)一步授權(quán)給企業(yè)B內(nèi)的員工。如果企業(yè)A和企業(yè)B的代運(yùn)維管理合同終止，企業(yè)A可隨時(shí)撤銷對(duì)企業(yè)B的授權(quán)。

  訪問控制的運(yùn)用也是非常廣的，可能我們平時(shí)不了解這些技術(shù)，但是我們生活中無時(shí)無刻都在使用它，手機(jī)、電腦、智能家居等等的產(chǎn)品都是會(huì)有訪問控制程序的，可能原理大家不是很清楚，但是對(duì)它有了解也是能夠增長(zhǎng)我們的知識(shí)的，如果你想了解更多，可以關(guān)注一下新網(wǎng)這個(gè)網(wǎng)站。