Access control — kim yoki qaysi process qaysi resurs ustida qanday amal bajarishi mumkinligini belgilash va majburiy qo‘llash mexanizmidir. U identityni aniqlovchi authenticationdan keyin authorization qarorini chiqaradi. Qaror subject, resource, action va kontekstga asoslanadi.
Asosiy model
Subject foydalanuvchi, service account yoki qurilma bo‘lishi mumkin. Resource fayl, API endpoint, database satri yoki object storage bucketidir. Action read, write, delete, approve kabi amaldir. Environment vaqt, IP manzil, device holati yoki request riskini beradi.
Policy engine ushbu qiymatlarni qoidalar bilan solishtiradi. Enforcement point qarorni real amal oldidan qo‘llaydi. Faqat UI tugmasini yashirish access control emas; backend har requestni tekshirishi kerak.
DAC, MAC, RBAC va ABAC
Discretionary Access Control’da resurs egasi ruxsatlarni boshqaradi. Filesystem owner va ACL bunga misol. Mandatory Access Control markaziy label va clearance siyosatiga tayanadi; foydalanuvchi uni ixtiyoriy o‘zgartira olmaydi.
Role-Based Access Control permissionlarni rolelarga birlashtiradi. Foydalanuvchi editor yoki auditor rolini oladi. Attribute-Based Access Control esa department, resource classification va vaqt kabi atributlardan dinamik qaror chiqaradi. RBAC sodda boshqariladi, ABAC nozik kontekstni ifodalaydi, ammo policy tahlili murakkabroq.
Default deny va minimal huquq
Aniq ruxsat bo‘lmasa amal rad etiladigan default-deny modeli xavfsiz asosdir. Minimal privilege subjectga vazifasi uchun zarur eng kichik action va resurs doirasini beradi. *:* kabi keng permission tez sozlansa ham zarar doirasini kattalashtiradi.
Role explosion har kichik farq uchun yangi role yaratilganda yuz beradi. Base role va tor attribute condition kombinatsiyasi boshqaruvni yengillashtirishi mumkin. Vaqtinchalik yuqori huquq just-in-time workflow orqali muddat va approval bilan beriladi.
Policy birikishi
Bir resursga identity policy, resource policy, organization boundary va explicit deny bir vaqtda ta’sir qilishi mumkin. Effective permission ularning birikish qoidasi bilan topiladi. Ko‘p tizimda explicit deny allowdan ustun turadi, ammo aniq semantika platformaga bog‘liq.
Group nesting va inherited ACL yashirin ruxsat yaratadi. “Bu user qayerdan huquq oldi?” savoliga policy simulator yoki access graph javob beradi. Faqat role nomini ko‘rish yetarli emas; transitive membership va resource policy ham tahlil qilinadi.
Row va field darajasi
Database yoki search tizimida row-level security foydalanuvchiga faqat o‘z tenant yozuvlarini ko‘rsatadi. Field-level control maxfiy ustun yoki document fieldini yashiradi. Filter clientdan kelgan tenant IDga emas, autentifikatsiya qilingan identity kontekstiga tayanadi.
Aggregation va count ham data mavjudligini oshkor qilishi mumkin. Access filter query, export, autocomplete va background joblarning barchasida qo‘llanadi. Cache key authorization contextini hisobga olmasa bir user natijasi boshqasiga chiqishi mumkin.
Audit va lifecycle
Access log subject, action, resource, decision va policy sababini qayd etadi. Secret va to‘liq sensitive payload logga kiritilmaydi. Deny hodisalari hujum ham, noto‘g‘ri konfiguratsiya ham bo‘lishi mumkin; trend va kontekst bilan tahlil qilinadi.
Joiner-mover-leaver lifecycle ishga kirish, rol o‘zgarishi va ketishda huquqlarni yangilaydi. Dormant account, muddati o‘tgan temporary grant va ishlatilmaydigan access key davriy reviewda olib tashlanadi. Break-glass access alohida nazorat va keyingi auditga ega.
Bog‘liq tushunchalar
Authentication, Authorization, RBAC, ABAC, ACL, Least privilege, Policy engine