访问控制基本概念
实体
从数据处理的角度看，现实世界中的客观事物称为实体，它是现实世界中任何可区分、可识别的事物。在计算机信息系统中，实体指计算机资源（物理设备、数据文件、内存或进程）或一个合法用户。实体又可以分为主体和客体。
主体和客体
主体：一个提出请求或要求的实体，是动作的发起者（不一定是动作的执行者），有时也称为用户或访问者（如被授权使用计算机的人）。主体含义广泛，可以是用户、用户组、计算机终端、外设卡、手持终端设备、一个数据文件甚至是应用服务程序或进程。
客体：接受其他实体访问的被动实体，凡是可以被操作的信息、资源、对象都可以作为客体。通常包括文件和文件系统、磁盘和磁带卷标、远程终端、信息管理系统的事务处理及其应用、数据库中的数据、应用资源等。
访问、访问控制
访问：使信息在主体和客体之间流动的一种交互方式。对文件客体来说，典型的访问就是读、写、执行和所有；其中所有权指谁能改变文件的访问权。
访问控制：指主体依据某些控制策略或者权限对客体或其资源进行的不同的授权访问。可以限制访问主体（或称为发起者，是一个主动的实体，如用户、进程、服务等）对访问客体（需要保护的资源）的访问权限，从而使计算机系统在合法范围内使用。
访问控制策略：主体对客体的访问规则集，这个规则集直接定义了主体对客体的作用行为和客体对主体的条件约束。体现了一种授权行为，也就是客体对主体的权限允许，这种允许不能超越规则集。
访问控制三要素****：
主体、客体、访问控制策略。
访问控制过程
访问控制由两个重要过程组成：
-
通过认证来检验主体的合法身份；
-
通过授权（Authorization）来限制用户对资源的访问级别。
在认证和授权后，访问控制机制将根据预先设定的规则对用户访问的资源进行控制，只有规则允许的资源才能访问。 这种控制通过**监控器**进行，每一次用户对系统内目标进行访问时，都由这个监控器来进行调节。 **控制过程**：用户对系统进行访问时，监控器便依据访问控制策略，以确定准备进行访问的用户是否确实得到了进行此项访问的许可。
严格区分身份认证和访问控制很重要！
原因：正确建立用户的身份是认证服务的责任，而访问控制则假定在通过监控器实施访问控制前，用户的身份就已经得到了验证；因而，访问控制的有效性取决于用户的正确识别，同时也取决于监控器正确的控制。
特点：可以对某一特定资源指定任意一个用户的访问控制权限，还可以将有相同权限的用户分组，并授予组的访问权；表达直观、易于理解，而且容易查出对某一特定资源拥有所有访问权限的所用用户，有效地实施授权管理。
特点：易于获得某个主体被授权访问的客体及其权限，但要获得对某一个特定客体有特定权限的所有主体比较困难。
访问控制基本模型
自主访问控制
**自主访问控制**（Discretionary Access Control）根据主体的身份及允许访问的权限进行决策，也称**自由访问控制**。**Linux、UNIX、Windows NT/SERVER版本的操作系统**都提供自主访问控制功能。具体实现上，首先要对用户的身份进行鉴别；然后就可以按照访问控制列表所赋予用户的权限允许和限制用户使用客体的资源。
优点：灵活性高，被大量采用（尤其在商业和工业环境的应用上）
例如：用户可以自由传递权限，使得没有访问某个文件权限的用户U1可以从有该文件访问权限的用户Un那里得到访问权限或是直接拷贝该文件。
缺点：不易控制权限传递，容易被非法用户绕过而获得访问。
例如：用户A可将其对目标O的访问权限传递给用户B,从而使不具备对O访问权限的B可访问O。
强制访问控制
强制访问控制（Mandatory Access Control）是比DAC更为严格的访问控制策略。具体实现时，每个用户及文件都被赋予一定的安全级别，用户不能改变自身或任何客体的安全级别，只有系统管理员可以确定用户和组的访问权限。系统通过比较用户和访问的文件的安全级别来决定用户是否可以访问该文件。
强制访问控制通常借助访问控制安全标签列表来实现。
**安全标签**是限制和附属在主体或客体上的一组安全属性信息。访问控制标签列表是限定一个用户对一个客体目标访问的安全属性集合。
角色访问控制
Role-based Access Control，RBAC
**基本思想:** 将访问许可权分配给一定的角色，用户通过饰演不同的角色获得角色所拥有的访问许可权。
与MAC和DAC将权限直接授予用户的方式不同，RBAC从控制主体的角度出发，根据管理中相对稳定的职权和责任来划分角色，将访问权限与角色相联系；通过给用户分配合适的角色，让用户与访问权限相联系。
<span style="color: #DF2A3F; font-weight: bold;">角色</span>成为访问控制中访问主体和受控对象（客体）之间的一座桥梁。