访问控制技术

一、访问控制的概念

访问控制是指主体依据某些控制策略或权限对客体本身或是其资源进行的不同授权访问。访问控制是在身份认证的基础上，根据身份对提出的资源访问请求加以控制，是针对越权使用资源的现象进行防御的措施。访问控制是网络安全防范和保护的主要策略，它可以限制对关键资源的访问，防止非法用户或合法用户的不慎操作所造成的破坏。

1. 访问控制的目的和作用
目的：是为了限制访问主体（用户、进程、服务等）对访问客体（文件、系统等）的访问权限，从而使计算机系统在合法范围内使用；决定用户能做什么，也决定代表一定用户利益的程序能做什么。

作用：是对需要访问系统及其数据的人进行鉴别，并验证其合法身份；也是进行记账、审计等的前提。

2. 访问控制系统的三要素:

主体,客体,访问策略
3. 访问控制的实现过程
（1）认证
（2）访问策略的实现
（3）审计

4. 访问控制的一般实现机制和方法
一般实现机制：
基于访问控制属性 ---> 访问控制表/矩阵
基于用户和资源分档（“安全标签”）---> 多级访问控制

常见实现方法：
访问控制表（ACL）
访问能力表（Capabilities）
授权关系表
访问控制列表(Access Control List)
访问控制列表是从客体角度进行设置的、面向客体的访问控制。每个客体有一个访