Authorization ist die Entscheidung, was jemand nach erfolgreichem Nachweis tun darf. Auf Deutsch heißt sie Autorisierung.
- Authorization
Die Entscheidung, was jemand nach erfolgreichem Nachweis tun darf.
Beispiel: „Die Authorization erlaubt dem Praktikanten das Lesen und nicht das Löschen.“Auch: Autorisierung, Rechtevergabe. Üblich sind zwei Modelle, nach Rollen oder nach Merkmalen.
Abgrenzung zur Authentication: Die klärt, wer jemand ist. Die Authorization setzt das voraus.
Die beiden Modelle der Authorization
Nach Rollen und nach Merkmalen. Beim Rollenmodell bekommt eine Person eine Rolle und die Rolle die Rechte; das ist übersichtlich und wird unhandlich, sobald es Ausnahmen gibt. Beim Merkmalsmodell entscheidet eine Regel anhand von Eigenschaften: Abteilung, Tageszeit, Gerät, Standort. Das ist feiner und schwerer zu durchschauen; in der Praxis laufen beide nebeneinander.
Warum die Prüfung auf den Server gehört
Weil alles andere nur eine Anzeige ist. Ein ausgegrauter Knopf in der Oberfläche hindert niemanden daran, die Anfrage trotzdem zu schicken; wer die Rechte nur im Browser prüft, hat sie nicht geprüft. Diese Lücke gehört zu den häufigsten überhaupt, und sie fällt im normalen Betrieb nie auf, weil die eigene Oberfläche sich ja an die Regeln hält.
Wie Rechte wieder verschwinden
Gar nicht, wenn niemand sich darum kümmert. Rechte werden vergeben, wenn jemand sie braucht, und bleiben danach stehen: Der Mitarbeiter wechselt die Abteilung und behält die alten Zugänge, das Projekt endet und der externe Zugang bleibt offen. Dagegen hilft nur eine regelmäßige Durchsicht mit einer klaren Vorgabe, siehe Least Privilege, und das Mitdenken beim Austritt: Wer geht, verliert alles am selben Tag.