开发者学堂课程【云安全基础课 - 访问控制概述： 访问控制概述】学习笔记，与课程紧密联系，让用户快速学习知识。
课程地址：https://developer.aliyun.com/learning/course/495/detail/6646
访问控制概述
内容介绍：
一、基本概念
二、访问控制的目标
三、访问控制的作用
四、访问控制的策略原则
五、访问控制的范围
六、访问控制的手段
七、访问控制的类型
八、访问控制的元素
一、基本概念
1、访问控制的基本概念
访问控制（Access Control )是一种对主体访问客体行为进行限制的措施，它只允许得到授权的主体按照其得到授权的访问范围和形式访问相关客体。
2、术语解释
l 主体：一般包括主动的实体，即造成信息流动和信息状态改变的物体，都可以叫做主体。像人、进程、程序、设备等这些都可以算作是主体。
l 客体:客体就是被访问的、接受信息的被动的实体对对象。
l 访问：访问意味着对所包含信息的访问，即信息在主体和客体流动的一种交互方式。
l 主体、客体以及访问三者之间的关系：
主体一般都是发起者，主体一般是接收课题的相关信息和数据，也可能改变客体的相关信息。
客体一般是被动的实体或者被操作的对象，像文件、存储资源、进程等这些都是被操作的对象。
一般情况下主体为了完成一个任务，可以创建多个另外的体，叫做子主体，这些子主体的也可以在网络不同的计算机上运行，然后将运行结果交给副主体。
二、访问控制的目标
（1）目标
信息安全的三要素就是机密性、完整性和可用性，实际上访问控制的目标呢就是要预防cia被破坏，针对越权使用的资源进行防护措施。
防止对任何资源，比如计算机、通信或者信息资源进行非授权的访问，简单来说就是防止对任何资源的未授权访问，这些资源可能是计算机，可能是通信，也可能是信息数据，从而使这些资源在授权的范围内合理的使用，决定用户能做什么，代表移动用户利益的程序能做什么。
（2）cia讲解
Cia 包括机密性、完整性和可用性，他们是信息安全的基本要素，也是安全建设的基本原则。这个概念的来源是信息技术安全评估准则，也就是早期的 ititec。除了 cia，信息安全还有一些其他的原则，包括我们常听说的可塑性、真实性、可控性、不可否认性等等，这些是与 cia 相对应的一组概念.。还有dad的概念，它是跟 Cia 相对应的，是数据的泄露、篡改以及破坏，在这些概念之上还有像伪造、仿冒、盗用、滥用、依赖等概念，这些都是对 cia 和 dad 的细化、补充或者加强。
三、访问控制的作用
未授权的访问，包括未经授权的使用、篡改、修改、销毁信息以及颁发指令等。
这里面包括非法用户对系统资源的使用以及合法用户对系统资源的非法使用，包括这两种情况，它的作用就是保护系统的机密性、完整性和可用性。
四、访问控制的策略原则
我们在以后的安全建设过程中，在访问控制这方面经常提到的一个原则就是最小特权原则(least privilege )，它可以防止非授权的主体访问客体，也是其他的信息服务都要遵守的一个原则。
主要考虑的因素包括主体是否有权访问客体、主体被授权访问何种客体、主体对客体进行何种方式的操作，即他的访问行为形式是什么样的，它的具体操作的范围是什么样的。访问控制通常还会对访问活动进行记录,以便对活动进行审计。
五、访问控制的范围
设施-物理位置
支持系统
信息系统
人员——管理者，最终用户
六、访问控制的手段
访问控制的手段可以从三个维度来说，一个是管理维度，一个是物理维度，一个是技术维度。
管理方面的控制手段是最优先选择的，一般情况下是使用规章制度或章程来进行有效的防控制，像有效员工的背景调查、解聘的过程，还有像数据的分级标识、提高安全控制的手段以及安全意识的能力都属于管理范围的手段。
物理方面像各种证件，例如身份证、磁卡、工牌等，还有门的栅栏锁、机房的屏蔽门等物理设施提到来控制作用。第三种呢是技术手段，像密码、生物识别的各种技术、虹膜、智能卡，以及像加密数据库的具有访问限制性的接口。
七、访问控制的类型
访问控制的类型可以从两个角度去分，一个是主要的控制类型，从预防，检测和校正三个维度来分。
预防就是避免事故的发生，检测就是通过技术手段，有助于确定事件的活动，纠正是在事情发生之后，不断的去修复组件或者系统。这是访问控制的第一种分类方法，第二类是按照威慑、恢复、指引、补偿四种方式进行分类，威慑意在打消潜在攻击者的攻击意图，恢复是恢复对常规操作的控制，指引是通过法规或者是环境要求制定的强制性的控制，补偿是提供备用的控制措施，通过两种或两种以上的给的控制措施来进行补偿。
八、访问控制的元素
1. 元素类型
访问控制的元素需要知道四个知识点，第一个是身份标识，第二是身份的验证，第三个是授权，第四个是可问责和审计。标识呢是人或者系统唯一的一个身份凭证，这是所有访问控制最重要的一个起点，没有正确的身份标识，就没法进行下一步适当的控制；身份验证就是认证的过程，是对用户的身份标识进行验证，一般情况是通过主体的主动请求，然后将唯一的身份标识发送给客体，客体才对这个身份进行标识及认证，如果用户提供的是真实的且能够在系统里通过认证，则说明认证通过，表示用户是一个可被接受的访问者；
授权是是对合法或者非法用户控制的过程，访问控制分两个步骤，一个是访问，一个是控制，首先要能够访问，能够访问就是通过身份标识和认证的过程中来确认能否访问，能访问后通过授权的方式进行控制，就是限制用户对资源的访问范围以及功能的操作的权限；可问责、可审计就是知道事情是谁做的，如果出现问题可以通过审计的技术手段进行问责。
总结归纳：
(1)身份标识
l 人或系统唯—身份凭证，是所有访问控制的起点。
l 没有正确的身份标识，无法确定如何进行适当的控制。
(2)身份验证
l 对用户身份标识的验证过程。
l 通过访问请求及唯一身份标识，用户提供一些只有自己可以访问或知道的私人数据。
(3)授权
l 对合法/非法用户的控制过程。
l 限制用户对资源的访问范围，功能操作等权限。
(4)可问责
l 知道事情是谁做的?
审计:我们需要考虑哪些因素?审计策略、审计操作、脆弱性
2、标识、认证及授权之间的关系
l 标识提供了唯一性。
l 认证提供了有效性。>授权提供了控制。
l 问责提供了审计。
