Authorization (Phân quyền) trong bảo mật mạng
Authorization (Phân quyền) là quá trình xác định người dùng/dịch vụ được phép làm gì sau khi đã được xác thực (Authentication). Đây là kiểu kiểm soát truy cập logic (Logical Access Control).
Authorization vs Authentication
| Authentication (Xác thực) | Authorization (Phân quyền) |
|---|---|
| "Bạn là ai?" | "Bạn được làm gì?" |
| Verify identity (Password, MFA, Cert, Biometric) | Verify permissions (RBAC, ACL, Policy) |
| Input: Credentials | Input: Authenticated identity + Request |
| Output: Principal/Identity | Output: Allow/Deny decision |
| Ví dụ: Đăng nhập | Ví dụ: Truy cập file admin, xóa user |
3 mô hình Access Control chính
- DAC (Discretionary Access Control): Chủ sở hữu tài nguyên quyết định quyền (ACL trên file, chmod 755). Linh hoạt nhưng khó quản trị tập trung.
- MAC (Mandatory Access Control): Hệ thống gán nhãn bảo mật (Label: Top Secret, Secret, Confidential) cho Subject và Object. Chính sách tập trung, không thể ghi đè. Dùng quân sự, chính phủ (SELinux, TrustedBSD).
- RBAC (Role-Based Access Control): Gán quyền cho Role, gán User vào Role. Phổ biến nhất doanh nghiệp (Azure RBAC, AWS IAM, Kubernetes RBAC).
Mô hình mở rộng
- ABAC (Attribute-Based Access Control): Quyết định dựa trên attribute (User attr, Resource attr, Environment attr). Linh hoạt, fine-grained. (AWS IAM Conditions, XACML, Google Zanzibar)
- PBAC (Policy-Based Access Control): Quy tắc trung tâm (OPA/Rego, Cedar)
- RuBAC (Rule-Based): Quy tắc điều kiện (Time, Location, IP, Device compliance)
Network Authorization (Phân quyền mạng)
- Pre-admission: Kiểm tra trước khi cho vào mạng (NAC: Health check, Cert, Domain join, Posture assessment)
- Post-admission: Kiểm soát trong mạng (Segmentation, Micro-segmentation, Zero Trust, East-West firewall)
AAA Framework (Authentication, Authorization, Accounting)
- Authentication: Xác thực danh tính (RADIUS, TACACS+, LDAP, SAML/OIDC)
- Authorization: Phân quyền lệnh, quyền truy cập tài nguyên (Command authorization, Network resource access)
- Accounting: Ghi log audit (Ai, làm gì, khi nào, từ đâu)
Ví dụ Authorization thực tế
- Network Device (Cisco): TACACS+ command authorization (show run vs config t)
- Firewall: User "Admin" full quyền, "ReadOnly" chỉ xem log
- Cloud (Azure RBAC): Role "Virtual Machine Contributor" không được xóa Resource Group
- Kubernetes RBAC: RoleBinding "developer" chỉ get/list pods trong namespace "dev"
- File Server: NTFS ACL: Group "Accounting" Modify, "Intern" Read
4 loại Security Controls (NIST)
- Physical: Door lock, Camera, Biometric reader
- Technical (Logical): Firewall, Encryption, ACL, RBAC, MFA, AV/EDR
- Administrative: Policy, Training, Background check, Incident response plan
- Compensating: Control thay thế khi control chính không triển khai được
Kết luận
Authorization là Logical/Technical Access Control - thành phần cốt lõi của AAA, Zero Trust ("Never trust, always verify"), và Principle of Least Privilege. Triển khai hiệu quả cần: Identity governance, Centralized policy (OPA/Cedar), Continuous verification, Audit trail.