Authorization

הסבר פורמלי#

Authorization (הרשאה) הוא, לפי NIST, ההחלטה לאפשר או למנוע מנושא גישה לאובייקטים במערכת (רשת, נתונים, אפליקציה, שירות), וגם זכויות הגישה שהוענקו למשתמש, לתוכנה או לתהליך. היא באה בדרך כלל אחרי Authentication: קודם מזהים מי הגורם, ואז מחליטים מה מותר לו.

הסבר בגובה העיניים#

בחנות, גם עובד שהתחבר בהצלחה למערכת לא בהכרח רשאי לראות את השכר של כולם. מנהל חשבונות יראה חשבוניות, מנהל מכירות יראה לידים, ולקוח יראה רק את ההזמנות שלו. האימות אומר מי הוא, וההרשאה אומרת מה הוא יכול לראות ולעשות.

למה זה חשוב בפועל#

הגדירו הרשאות לפי תפקיד ולפי הצורך, לפי עקרון Least Privilege. במסדי נתונים אפשר לאכוף הרשאה גם ברמת השורה, ראו Row Level Security.

תגיות#

• authorization
• access control
• permissions
• roles

מקורות#

• Authorization — NIST CSRC Glossary