細粒度授權(quán)二三事，你了解多少？

隨著社會的高度發(fā)展，互聯(lián)網(wǎng)在生活中的應(yīng)用越來越多，尤其企業(yè)的數(shù)字化推進使用戶數(shù)據(jù)越來越集中，隨著頻頻暴露的各類網(wǎng)絡(luò)攻擊，企業(yè)對數(shù)據(jù)的重視程度與日俱增。對企業(yè)來說，數(shù)據(jù)中心每天都會有很多用戶數(shù)據(jù)進入，雖然有用戶數(shù)據(jù)的涌入對企業(yè)來說應(yīng)該是好事，但企業(yè)如何保證用戶數(shù)據(jù)訪問和應(yīng)用程序的充分安全是關(guān)注的重點。很多數(shù)據(jù)泄露的主要原因在于員工，尤其數(shù)據(jù)在生產(chǎn)過程中，可能會因人為管理不善帶來各類風(fēng)險，如內(nèi)部人員導(dǎo)致的數(shù)據(jù)泄露和暴露企業(yè)與個人隱私等。

即使很多企業(yè)正在部署或者已經(jīng)部署了管理用戶身份數(shù)據(jù)的系統(tǒng)，這些系統(tǒng)絕大部分都缺乏顆粒級的授權(quán)支持，這也意味著企業(yè)在權(quán)限管理中會存在一些問題，如：

因此在企業(yè)的用戶身份和訪問管理方面，需要顆粒級的授權(quán)來滿足安全需求，這也就是為什么細粒度授權(quán)被提及。細粒度授權(quán)也叫數(shù)據(jù)范圍授權(quán)，即不同的用戶所擁有的操作權(quán)限相同，但是能夠操作的數(shù)據(jù)范圍是不一樣的， 比如說，部門經(jīng)理只可以訪問本部門的員工信息，普通員工只可以看到自己權(quán)限內(nèi)的菜單，而大區(qū)經(jīng)理可以看到本區(qū)的銷售訂單。

只有經(jīng)過授權(quán)，才能實現(xiàn)某些權(quán)限的操作，比如當微信登錄成功后用戶即可使用微信的功能，比如，發(fā)紅包，發(fā)朋友圈，添加好友等，沒有綁定銀行卡的用戶是無法發(fā)送紅包的，綁定銀行卡的用戶才可以發(fā)紅包，發(fā)紅包功能、發(fā)朋友圈功能都是微信的資源即功能資源，用戶擁有發(fā)紅包功能的權(quán)限才可以正常使用發(fā)紅包功能，擁有發(fā)朋友圈功能的權(quán)限才能使用發(fā)朋友圈功能，這個根據(jù)用戶的權(quán)限來控制用戶使用資源的過程就是授權(quán)。認證是為了保證用戶身份的合法性，授權(quán)則是為了更細粒度的對隱私數(shù)據(jù)進行劃分，授權(quán)是在認證通過后發(fā)生的，控制不同的用戶能夠訪問不同的權(quán)限。

對企業(yè)來說，要解決數(shù)據(jù)安全管理，授權(quán)是很重要的環(huán)節(jié)。目前很多企業(yè)的授權(quán)采用的是人工授權(quán)，假如企業(yè)人數(shù)不多，人工授權(quán)方式是最常見的管理方式之一，比如HR給新員工開通郵箱賬號，等員工轉(zhuǎn)正之后再給員工開通其他權(quán)限。在人數(shù)不多的情況下，人為操作倒是可以滿足對權(quán)限的操控。

但面對成百上千人數(shù)的中大型企業(yè)，部署身份和訪問管理系統(tǒng)是最常用的手段，身份和訪問管理（IAM）解決方案的授權(quán)方法各不相同，基于角色的訪問控制會比較常見。它涉及定義公司所需的角色，為每個角色指定權(quán)限，然后將用戶與角色進行匹配，安全定義好的規(guī)則實現(xiàn)自動化授權(quán)。比如在員工入職之后，系統(tǒng)會根據(jù)員工的角色自動生成其權(quán)限。

細粒度授權(quán)也可以繼續(xù)升級至動態(tài)的細粒度權(quán)限，動態(tài)授權(quán)會結(jié)合人的屬性、環(huán)境、設(shè)備等多種因素來判斷權(quán)限，單一屬性的變化都會導(dǎo)致權(quán)限變化。動態(tài)細粒度授權(quán)能有效提升企業(yè)管理，并減少數(shù)據(jù)泄露風(fēng)險。

在網(wǎng)絡(luò)威脅更加多元化的今天，企業(yè)對安全的需求與日俱增。派拉結(jié)合多年的身份安全實踐經(jīng)驗和對技術(shù)的精益求精，推出一體化零信任安全解決方案，在統(tǒng)一身份管理的基礎(chǔ)上，建立統(tǒng)一授權(quán)中心，實行基于“屬性”的動態(tài)授權(quán)體系，滿足零信任架構(gòu)下更加“細粒度”的權(quán)限管控需求。