How software gets permission today
9 hours ago
- IAM的三个基本问题依次为身份、认证和授权，其中授权是持续进行的，且通常最难正确实施。
- 授权模型包括ACL、RBAC、ABAC和ReBAC，各有取舍；实际系统通常结合使用，用角色进行粗粒度访问，用关系表示所有权，用属性实现细粒度条件。
- 访问控制失效是OWASP头号风险，常见故障包括IDOR、缺失功能检查、混淆代理、权限过度积累及账户权限过大。
- OAuth 2.0通过访问令牌（valet keys）实现委托授权，作用域则限制客户端在用户权限范围内的操作。
- 策略引擎将授权逻辑集中为单一规则簿，使规则可测试和审计，但在跨所有端点实现数据一致性和执行方面面临挑战。
- 机器身份（服务账户）如今已多于人类身份，需谨慎管理权限，工作负载身份联合提供了静态机密的现代替代方案。
- 当前的授权机制假设已知主体和可预测请求，但软件代表人类自主行动时，这一假设不再成立。