1 基本概念
1.1 定义
访问控制是指信息系统依据预先设定的规则，对主体是否能够访问某一资源进行判定，并据此完成允许、拒绝或限制访问的过程。它通常与身份认证、权限管理和安全审计配合使用，是信息安全体系中的基础环节之一。
1.2 访问控制的目标
访问控制的核心目标是在保障正常业务操作顺利进行的前提下，减少未授权访问、越权操作和敏感信息外泄的风险。它既关注“谁可以访问”，也关注“可以访问到什么程度”。
1.2.1 机密性保护
机密性保护强调只有获得授权的主体才能接触特定信息或资源。通过限制访问范围，系统可避免数据被无关人员查看或复制。
1.2.2 完整性维护
完整性维护是指防止未授权主体对数据、配置或系统状态进行修改，从而确保资源内容保持准确、可靠和可追溯。
1.2.3 可用性保障
可用性保障关注合法用户能够在需要时稳定获取服务。合理的访问控制不仅要“管得住”，也要避免过度限制影响业务连续性。
1.3 访问控制的基本要素
访问控制通常围绕主体、客体、权限和策略四个要素展开。它们共同决定了访问关系如何建立、如何判断以及如何执行。
1.3.1 主体
主体是发起访问请求的一方，通常包括用户、进程、服务账户、设备或应用程序。主体的身份和状态是授权判断的重要依据。
1.3.2 客体
客体是被访问的对象，可以是文件、数据库记录、接口、网络端口、设备功能或其他受保护资源。不同客体往往对应不同的访问粒度。
1.3.3 权限
权限是主体对客体可执行操作的集合，例如读取、写入、删除、执行、配置或共享等。权限越细化，系统对访问行为的控制通常越精确。
1.3.4 策略
策略是系统判断访问是否允许的规则集合，通常结合身份、角色、属性、环境与资源状态进行决策。策略能够将安全要求转化为可执行的控制逻辑。
2 访问控制的工作流程
2.1 身份识别
身份识别是系统确认请求来源“是谁”的过程。它可能依赖用户名、设备标识、证书信息或其他可识别特征，为后续认证与授权提供基础。
2.2 身份认证
身份认证用于验证主体所声称的身份是否真实。常见方式包括口令、动态验证码、生物特征、硬件令牌或证书校验等。
2.3 授权决策
在身份确认后，系统会根据策略对访问请求作出授权判断，决定是否允许访问，以及允许执行哪些操作。
2.3.1 访问请求评估
访问请求评估主要分析请求的主体、客体、动作和上下文信息，判断该请求是否符合既定条件。此步骤通常是授权计算的输入环节。
2.3.2 策略匹配
策略匹配是将请求与现有访问规则进行对照，找出适用条目。若多个规则同时生效，系统可能按照优先级、冲突处理规则或综合条件进行裁定。
2.3.3 决策返回
决策返回是将授权结果反馈给执行组件的过程，结果通常表现为允许、拒绝、降级授权或附带附加条件的访问许可。
2.4 访问执行与审计
当授权结果为允许时，系统会实际执行访问操作，并同步记录相关日志。审计信息可用于追踪行为、排查问题和事后分析。
3 访问控制模型
3.1 自主访问控制
自主访问控制强调资源所有者对访问权限具有一定管理权。资源的创建者或所有者可以决定是否将访问权授予他人，具有较强的灵活性。
3.1.1 访问控制列表
访问控制列表是自主访问控制中的常见实现方式，用于列出某一资源对不同主体可授予的权限。它直观易懂，适合单个资源的精细管理。
3.1.2 权限继承
权限继承指子对象沿用父对象的一部分访问权限设置，例如目录中的文件继承上级目录的权限规则。它可以简化管理，但也可能带来误授权风险。
3.2 强制访问控制
强制访问控制由系统统一制定和实施，主体通常不能自行更改权限规则。此模型强调以强约束方式控制信息流向，适合高安全要求环境。
3.2.1 安全级别
安全级别是强制访问控制中的核心标记，用于描述主体与客体的保密程度或可信等级。系统依据级别关系判断访问是否合法。
3.2.2 标签与分类
标签与分类用于给主体和资源附加安全属性，例如密级、类别或敏感程度。访问判断往往依赖这些标记之间的匹配关系。
3.3 基于角色的访问控制
基于角色的访问控制以角色作为权限分配中介，将权限绑定到岗位、职责或职能上，再将用户映射到相应角色。它适合组织结构较明确的场景。
3.3.1 角色分配
角色分配是将用户或服务账户关联到特定角色的过程。合理分配角色有助于减少逐人授权带来的管理负担。
3.3.2 角色权限管理
角色权限管理负责定义每个角色可执行的操作集合，并在业务变化时进行调整。它通常是权限体系维护的主要工作之一。
3.3.3 角色层级
角色层级允许高层角色继承低层角色的部分权限，从而形成树状或分层结构。该机制可提升管理效率，但需注意层级过深造成的权限扩散。
3.4 基于属性的访问控制
基于属性的访问控制通过主体、资源和环境等多类属性进行判断，能够表达更灵活的访问条件。它适用于动态变化较多的业务场景。
3.4.1 用户属性
用户属性包括部门、职位、资质、状态、信用等级等信息。系统可据此判断主体是否满足访问条件。
3.4.2 环境属性
环境属性指访问发生时的上下文信息，如时间、地点、网络来源、设备状态或会话风险。它使授权决策更具实时性。
3.4.3 资源属性
资源属性描述对象本身的特征，例如敏感级别、所属类别、生命周期状态或共享范围。不同资源属性常对应不同控制强度。
3.4.4 策略表达
策略表达是将属性条件组合成可执行规则的过程，通常包括逻辑判断、阈值比较和条件组合。它是属性驱动授权的关键环节。
3.5 基于规则的访问控制
基于规则的访问控制以明确的条件规则为核心，根据“如果满足某条件，则允许或拒绝”的方式进行判断。它可与其他模型结合使用。
3.5.1 条件判断
条件判断用于检查请求是否符合规则定义的前提，例如访问时间、来源网络或操作类型。规则越清晰，控制结果越容易解释。
3.5.2 动态策略
动态策略会根据运行环境、风险状态或上下文变化自动调整授权结果。此类策略在需要快速响应异常情况时较为常见。
4 访问控制技术实现
4.1 认证与授权机制
认证与授权是访问控制落地时最常见的两类机制。前者确认身份，后者决定权限，两者缺一不可。
4.1.1 口令认证
口令认证通过用户输入的密码或口令验证身份，部署简单、使用广泛，但安全性高度依赖口令强度和保管方式。
4.1.2 多因素认证
多因素认证要求同时提供两种或两种以上不同类型的凭据，例如密码与一次性验证码配合使用。它能显著提高账户安全性。
4.1.3 单点登录
单点登录允许用户在一次认证后访问多个关联系统，减少重复登录带来的操作负担。它提升体验的同时，也需要更严格的会话保护。
4.2 权限管理技术
权限管理技术用于定义、分配、调整和回收授权关系，是访问控制持续运作的重要支撑。
4.2.1 最小权限原则
最小权限原则要求主体仅获得完成任务所必需的最低权限。该原则可降低误操作和权限滥用的影响范围。
4.2.2 权限分离
权限分离强调将关键操作拆分给不同角色或不同主体处理，以减少单一账户掌控过多能力的风险。
4.2.3 临时授权
临时授权指在特定时间或特定任务期间开放有限权限，任务结束后自动失效。它适合应急处理和短期协作场景。
4.3 访问控制列表与策略引擎
访问控制列表与策略引擎是两种常见的控制实现方式，前者偏向显式授权，后者更适合复杂规则判断。
4.3.1 ACL
ACL即访问控制列表，通常记录资源可被哪些主体以何种方式访问。它结构清晰，但在规模较大时维护成本会上升。
4.3.2 策略决策点
策略决策点负责接收访问请求、读取策略并给出决策结果。它相当于授权判断的“分析中心”。
4.3.3 策略执行点
策略执行点负责在实际业务路径中拦截请求、应用决策并执行放行或阻止。它是策略落地到系统行为的关键位置。
4.4 审计与日志
审计与日志用于记录访问行为及其结果，为安全追踪、问题排查和合规检查提供依据。
4.4.1 访问记录
访问记录通常包含访问主体、时间、资源、操作类型和结果等信息。完整记录有助于还原事件经过。
4.4.2 异常告警
异常告警用于在检测到可疑访问模式时及时提醒管理员，例如短时间内多次失败登录或非常规位置访问。
4.4.3 合规追踪
合规追踪强调通过日志和审计证据证明访问行为符合既定制度或标准要求。它在管理和检查场景中尤为重要。
5 应用场景
5.1 操作系统
操作系统是访问控制最典型的应用场景之一，负责管理文件、进程、设备和用户会话等资源。
5.1.1 文件权限控制
文件权限控制用于限制读、写、执行等操作，常见于个人电脑和服务器环境中。它是系统级安全的基础组成部分。
5.1.2 用户组管理
用户组管理通过将多个用户归入同一组来统一分配权限，便于批量维护和职责划分。
5.2 数据库系统
数据库系统中的访问控制主要用于保护表、记录、字段和查询结果，防止未经授权的数据操作。
5.2.1 表级权限
表级权限控制用户对整张表的访问能力，例如查询、插入、更新或删除。它适合粗粒度管理。
5.2.2 行级权限
行级权限允许系统按记录维度控制不同用户可见的数据范围，常用于需要细分数据访问边界的场景。
5.2.3 列级权限
列级权限用于限制用户对某些字段的查看或修改能力，适合保护身份证号、联系方式等敏感信息。
5.3 网络与通信
网络与通信环境中的访问控制主要用于限制设备、端口、协议和连接路径，避免无关流量进入受保护区域。
5.3.1 防火墙规则
防火墙规则通过地址、端口、协议和方向等条件控制网络流量是否通过。它是边界防护中的重要手段。
5.3.2 网络分段
网络分段将整体网络划分为多个逻辑区域，减少不同区域之间的直接访问，从而降低横向扩散风险。
5.3.3 VPN访问控制
VPN访问控制用于限制远程连接用户可访问的资源范围，兼顾远程办公便利性与内部资源保护。
5.4 云计算与分布式系统
云计算与分布式系统具有资源动态变化快、访问接口多的特点，因此对访问控制的自动化和可扩展性要求较高。
5.4.1 资源访问策略
资源访问策略用于定义虚拟机、存储、容器、函数等云资源的使用边界。它通常依赖统一策略中心进行管理。
5.4.2 多租户隔离
多租户隔离确保不同租户之间的数据、计算和配置相互独立，防止资源越界访问。
5.4.3 API权限控制
API权限控制针对接口调用进行鉴权与授权，避免未授权程序或脚本访问服务能力。它在平台化系统中尤为重要。
5.5 应用程序与Web系统
应用程序与Web系统中的访问控制通常直接面向最终用户，是业务安全和用户体验共同作用的区域。
5.5.1 后端接口鉴权
后端接口鉴权用于确认请求是否具备调用服务接口的资格。它可防止仅靠前端展示造成的“表面限制”。
5.5.2 前端页面权限
前端页面权限用于控制用户可见的菜单、按钮和功能入口，虽然主要影响展示层，但也能改善操作引导。
5.5.3 会话控制
会话控制管理登录状态的有效期、失效条件与重新验证要求，有助于降低会话被滥用的风险。
6 设计原则与最佳实践
6.1 最小权限原则
最小权限原则是访问控制设计的核心指导思想。系统应尽量只授予完成任务所需的最低权限，并在任务结束后及时收回。
6.2 职责分离原则
职责分离原则要求关键流程由不同主体分别承担，以减少单点失误或滥用对系统造成的影响。
6.3 默认拒绝原则
默认拒绝原则意味着当规则不明确或无法匹配时，系统应优先拒绝访问，而不是自动放行。这样可以降低配置遗漏带来的风险。
6.4 持续验证
持续验证强调不能仅在登录时做一次判断，而应在会话和操作过程中持续评估身份、环境与风险状态。
6.5 权限审查与回收
权限审查与回收用于定期检查权限是否仍然合理，并清理闲置、过期或不再需要的授权，避免长期积累导致权限膨胀。
7 相关技术与扩展
7.1 身份管理
身份管理负责维护用户、账户、组织关系和生命周期信息，是访问控制能否准确工作的前提之一。
7.2 加密技术
加密技术虽然不直接替代访问控制，但常用于保护传输和存储中的数据，减少即使被访问后也被轻易读取的风险。
7.3 安全审计
安全审计通过对访问行为进行检查和分析，验证控制策略是否被正确执行，并发现异常或违规模式。
7.4 零信任架构
零信任架构强调不默认信任任何主体或网络位置，而是基于持续验证和最小授权进行访问判断。
7.5 风险自适应访问控制
风险自适应访问控制会根据登录位置、设备状态、行为特征等风险信号动态调整授权强度。其特点是更灵活，也更依赖实时评估能力。
8 常见问题与挑战
8.1 权限膨胀
权限膨胀指主体随着时间推移逐步积累过多权限，导致原本的边界被削弱。这通常发生在人员流动频繁或审批不够规范的环境中。
8.2 复杂策略维护
当系统规则增多、场景细分后，策略维护会变得复杂。若缺少统一管理，容易出现规则冲突、遗漏或难以理解的问题。
8.3 误配置风险
访问控制很依赖配置准确性，错误的规则、分组或继承设置都可能带来开放过度或限制过严的后果。
8.4 性能与体验平衡
过于复杂的控制逻辑可能增加访问延迟，影响用户体验。设计时需要在安全强度与系统响应之间找到平衡。
8.5 兼容性与迁移问题
在老系统升级或跨平台迁移时，原有权限模型、账户体系和资源结构往往难以直接沿用，需要进行映射、转换和验证，实施成本较高。
</INTERNAL_LINK_CANDIDATES> 身份认证（验证主体真实身份的过程） 授权（赋予主体访问权限的过程） 审计日志（记录访问行为与结果的系统日志） 最小权限原则（只授予完成任务所需最低权限的安全原则） 默认拒绝原则（未明确允许时一律拒绝的安全原则） 多因素认证（使用两种及以上独立凭据验证身份的方法） 单点登录（一次登录即可访问多个系统的认证机制） 访问控制列表（针对资源列出可访问主体及权限的清单） 强制访问控制（由系统统一强制执行的访问控制模型） 基于角色的访问控制（按角色分配权限的访问控制模型） 基于属性的访问控制（基于主体、资源和环境属性的访问控制模型） 零信任架构（不默认信任任何主体或网络的安全架构） 策略决策点（负责计算并返回授权结果的组件） 策略执行点（负责在业务路径中执行授权决策的组件） 权限膨胀（主体长期积累过多权限的现象） 网络分段（将网络划分为多个隔离区域的做法） 行级权限（按数据库记录行控制访问的权限） 会话控制（管理登录状态与有效期的机制） 权限继承（子对象沿用父对象部分权限的机制） 风险自适应访问控制（依据风险变化动态调整访问权限的模型）