3A介绍-Authentication（认证）、Authorization（授权）和Accounting（计费/核算）

前言

who：本文主要写给想了解3A系统的技术爱好者。
what：主要介绍3A的概念、应用体验、实战场景等。
when：文档创建时间：2024年9月2日
where：作者：松鼠会吃榛子 版本-v1
why：希望读者了解3A的概念，了解3A应用场景，需要使用的时候能有印象找到相关的资料。

1. 3A概念

在网络安全和信息技术领域中，Authentication（认证）、Authorization（授权）和Accounting（计费/核算）通常被合称为AAA（Triple A）。这三个概念都是用来确保网络资源的安全访问控制。下面分别解释它们各自的含义：

1.1 Authentication（认证）

认证是指验证用户或系统声称的身份是否真实的过程。简单来说，就是确认“你是谁”。这通常涉及到用户提供的凭证，比如用户名和密码、指纹、面部识别或者其他形式的身份标识符。只有当提供的凭证与记录中的匹配时，用户的身份才能被确认。认证是安全的第一步，也是其他安全措施的基础。

1.2 Authorization（授权）

授权是在认证之后的一个步骤，它定义了已经经过认证的用户可以做什么，即确定用户对特定资源的访问权限。例如，一个用户可能被认证为合法用户，但是他们可能只有访问某些文件或执行某些操作的权限。授权通常通过角色（Role-Based Access Control, RBAC）或者权限列表来实现，其中每个用户或用户组都被分配了一组特定的权限。

1.3 Accounting（计费/核算）

核算（有时也被称作审计）指的是跟踪和记录用户的行为以及资源使用情况的过程。它包括记录用户何时登录系统、进行了哪些操作、使用了多少资源等信息。这些信息可以用于计费目的（如网络服务的付费），也可以用于监控和审计，帮助发现潜在的安全威胁或不合规行为。

1.4 三者的关系

• 认证是进入系统的门槛，没有正确的认证，用户无法获得任何进一步的访问。
• 授权则是在用户成功认证后，决定用户能够访问哪些资源和服务。
• 核算贯穿整个用户活动过程，记录用户的活动以便后续分析和审计。

这些功能通常是通过专门的软件或硬件设备来实现，并且在网络架构设计中占据重要地位。正确地实施AAA可以帮助组织保护敏感信息，确保只有合适的人员能够访问相应的资源。

2. 使用场景

Authentication（认证）、Authorization（授权）和Accounting（计费/核算）（AAA）是许多应用场景中的核心组成部分，特别是在需要确保安全性和访问控制的地方。下面是几个常见的应用场景：

2.1 企业内部网络

• 认证：员工登录公司内部网络时，需要通过用户名和密码进行认证，以验证其身份。
• 授权：根据员工的角色和职责，授予不同的访问权限，例如，开发人员可以访问代码仓库，而财务部门的员工可以访问财务系统。
• 核算：记录员工在网络上的活动，包括登录时间、访问过的资源等，用于审计和合规检查。
  
  

2.2 Web 应用程序

• 认证：用户通过用户名和密码登录网站，或使用社交媒体账户进行第三方认证（如使用Google或Facebook账号登录）。
• 授权：根据用户的类型（如普通用户、管理员等）给予不同的权限，例如，普通用户只能查看内容，而管理员可以发布和编辑内容。
• 核算：记录用户的访问记录，包括登录次数、操作日志等，用于数据分析和安全审查。
  
  

2.3 移动应用

• 认证：用户通过指纹、面部识别或密码等方式登录移动应用。
• 授权：根据用户权限，控制应用内的功能访问，例如，普通用户只能查看信息，付费用户可以解锁高级功能。
• 核算：记录用户在应用内的活动，如购买历史、使用频率等，用于改进产品和服务。
  
  

2.4 金融服务

• 认证：客户通过银行或支付平台时，需要通过多重认证（如短信验证码、生物特征等）来确认身份。
• 授权：根据客户的账户类型和权限设置，控制其能进行的操作，如转账限额、投资权限等。
• 核算：详细记录每一笔交易的时间、金额、地点等信息，用于账务核对和反欺诈分析。
  
  

2.5 远程访问和VPN

• 认证：员工远程访问公司资源时，需要通过强认证手段（如双因素认证）来保证身份的真实性。
• 授权：根据员工的工作需求，限制其访问特定的内部资源或服务。
• 核算：记录远程连接的日志，包括连接时间、持续时长、访问资源等信息，用于安全审计。
  
  

2.6 物联网（IoT）设备

• 认证：设备通过唯一的标识符和密钥进行认证，以确保设备的真实性。
• 授权：根据设备的功能和安全等级，控制其与其他设备或系统的交互权限。
• 核算：记录设备的操作日志，包括设备状态变化、命令响应等，用于维护和支持。

这些场景展示了AAA在不同领域中的实际应用。通过有效地实施AAA框架，可以显著增强系统的安全性，并帮助组织更好地管理和保护其资源。

3. 实战练习篇

华为路由器3A介绍：
华为路由器3A配置视频教程：

3.1 华为路由器3A配置命令整理

• 使能802.1x功能

system-view
sysname R1
# 使能全局802.1x功能
dot1x enable  
int g0/0/1
# 使能802.1x功能的接口，必须为二层以太网接口
dot1x enable   
quit

• 配置AAA本地用户

aaa
# 配置本地用户
local-user huawei password cipher huawei@1234 
# 添加本地用户的接入类型   
local-user huawei service-type 8021x   
quit