主要内容包括
- 访问控制概述
- 访问控制模型
- 访问控制类型
- 访问控制策略设计与实现
- 访问控制过程与安全管理
- 访问控制主要产品与技术指标
- 访问控制技术应用
一、访问控制概述
- 访问控制是指对资源对象的访问者授权、控制的方法及运行机制。
- 访问者又称为主体，可以是用户、进程、应用程序等。
- 资源对象又称为客体即被访问的对象，可以是文件、应用服务、数据等；
- 授权是访问者可以对资源对象进行访问的方式，如文件的读、写、删除、追加或电子邮件服务的接收、发送等；
- 控制就是对访问者使用方式的监测、限制以及对是否许可用户访问资源做出决策，如拒绝访问、授权许可、禁止操作等。
- 访问控制的目标有两个：一是防止非法用户进入系统；二是阻止合法用户对系统资源的非法使用，即禁止合法用户的越权访问。
- 身份认证-访问权限，进而保护系统安全
二、访问控制模型
- 访问控制机制组成：主体、参考监视器、客体、访问控制数据库、审计库。
- 主体：主体是客体的操作实施者。主体通常是人、进程或设备等，一般是代表用户执行操作的进程，比如编辑一个文件，编辑进程是存取文件的主体，而文件是客体。
- 客体：客体是被主体操作的对象。通常来说，对客体的访问隐含着对其信息的访问。
- 参考监视器：参考监视器是访问控制的决策单元和执行单元的集合体。控制从主体到客体的每一次操作，监督主体和客体之间的授权访问行为，并将重要的安全事件存入审计文件中。
- 访问控制数据库：记录主体访问客体的权限及其访问方式的信息，提供访问控制决策判断的依据，也称为访问控制决策库。该数据库随着主体和客体的产生、删除及其权限的修改而动态变化。
- 审计库：存储主体访问客体的操作信息，包括访问成功访问失败以及访问操作信息
（1）为适应不同应用场景的访问控制需求，访问控制参数模型不断演变，形成各种各样的访问控制模型，主要有自主访问控制模型、强制访问控制模型、基于角色的访问控制模型、基于使用的访问控制模型、基于地理位置的访问控制模型、基于属性的访问控制模型、基于动态的访问控制模型。
（2）其中自主访问控制模型、强制访问控制模型、基于角色的访问控制模型常用于操作系统、数据库资源系统的访问。基于使用的访问控制模型则用于隐私保护、敏感信息安全限制、知识产权保护。
（3）基于地理位置的访问控制模型可用于移动互联网应用授权控制，如打车服务中的地理位置授权使用。
（4）基于属性的访问控制是一个新兴的访问控制方法，主要提供分布式网络环境和web服务的模型访问控制。
（5）基于行为的访问控制模型根据主体的活动行为，提供安全风险的控制 ，如上网行为的安全管理和电子支付操作控制；
（6）基于动态的访问控制模型则利用时态作为访问约束条件，增强访问控制细度，如手机上网流量包的限时使用。
三、访问控制类型
常见的访问控制类型主要有自主访问控制、强制访问控制、基于角色的访问控制、基于属性的访问控制。
- 自主访问控制：是指客体的所有者按照自己的安全策略授予系统中的其他用户对其的访问权限。目前，自主访问控制的实现方法有两大类，即基于行的自主访问控制和基于列的自主访问控制。
- 基于行的自主访问控制： 基于行的自主访问控制方法是在每个主体上都附加一个可以访问的客体的明细表，根据表中信息的不同又可以分为三种形式，即能力表、前缀表和口令。
- 能力表：能力是访问客体的钥匙，它决定用户能否对客体进行访问及具有何种访问模式（读、写、执行），拥有一定模式的主体可以按照给定的模式访问客体。
- 前缀表（从主体角度出发）
前缀表包括受保护客体名和主体对它的访问权限。当主体要访问某客体时，自主访问控制机制检查主体的前缀是否具有对它所请求的访问权。 - 口令
在基于口令机制的自主访问权限中，每个客体都相应的有一个口令
