ACL

ACL (Эй-Си-Эл, англ. Access Control List — список контроля доступа) — это понятие, используемое в системах с разграничением доступа для перечня субъектов или объектов, а также их групп (группы также называются ролями), с соответствующими разрешениями или запретами к данным и функционалу системы. Список определяет, кто или что может получать доступ к данному объекту и какие операции позволено проводить над объектом. В типичных ACL каждая запись определяет субъект воздействия и операцию: например, запись (Vasya, delete) в ACL для файла XYZ даёт возможность пользователю Vasya удалить файл XYZ.

В основанной на ACL модели безопасности, когда субъект запрашивает выполнение операции над объектом, система сперва проверяет список разрешённых для этого субъекта операций, и только после этого даёт (или не даёт) доступ к запрошенному действию.

Содержание

1 Модели безопасности, базирующиеся на ACL
2 Файловые системы с ACL
3 Сетевые ACL
4 См. также
5 Cсылки

[править] Модели безопасности, базирующиеся на ACL

Ключевая проблема в определении любой основанной на ACL модели безопасности — это вопрос, как будут редактироваться списки доступа. Кто может модифицировать списки ACL для каждого из объектов, и какие изменения можно вносить?

Использующие ACL системы могут быть разделены на две категории: дискреционные (англ. discretionary) и мандатные (англ. mandatory). Систему можно назвать построенной на дискреционном контроле доступа, если создатель или владелец объекта может полностью контролировать доступ к объекту, включая и список тех, кому разрешено изменять права доступа к объекту. Систему можно назвать обладающей мандатным контролем доступа, если заданные пользователем ACL перекрываются системными ограничениями.

Традиционные ACL системы назначают права индивидуальным пользователям, которые со временем и ростом числа пользователей в системе могут стать громоздкими. Наиболее распространённый подход к решению этой проблемы называют «ролевой контроль доступа», где права назначаются ролям, а роли присваиваются пользователям.

[править] Файловые системы с ACL

В файловых системах для реализации ACL используется идентификатор пользователя процесса (UID в терминах POSIX).

Список доступа представляет собой структуру данных (обычно таблицу), содержащую записи, определяющие права индивидуального пользователя или группы на специальные системные объекты, такие как программы, процессы или файлы. Эти записи также известны как ACE (англ. Access Control Entries) в операционных системах Microsoft Windows, OpenVMS и Mac OS X. Каждый объект в системе содержит указатель на свой ACL. Привилегии (или полномочия) определяют специальные права доступа, разрешающие пользователю читать из (англ. read), писать в (англ. write), или исполнять (англ. execute) объект. В некоторых реализациях ACE могут определять право пользователя или группы на изменение ACL объекта.

Концепции ACL в разных операционных системах различаются, несмотря на существующий «стандарт» POSIX. (Проекты безопасности POSIX, .1e и .2c, были отозваны, когда стало ясно что они затрагивают слишком обширную область и работа не может быть завершена, но хорошо проработанные части, определяющие ACL, были широко реализованы и известны как «POSIX ACLs».)

[править] Сетевые ACL

В сетях ACL представляют список правил, определяющих порты служб или имена доменов, доступных на узле или другом устройстве третьего уровня OSI, каждый со списком узлов и/или сетей, которым разрешен доступ к сервису. Сетевые ACL могут быть настроены как на обычном сервере, так и на маршрутизаторе и могут управлять как входящим, так и исходящим трафиком, в качестве межсетевого экрана.