ACL
Access Control List или ACL — список контроля доступа, который определяет, кто или что может получать доступ к конкретному объекту, и какие именно операции разрешено или запрещено этому субъекту проводить над объектом.
Списки контроля доступа являются основой систем с избирательным управлением доступа.
Введение
В типичных ACL каждая запись определяет субъект воздействия и операцию: например, запись (Vasya, delete) в ACL для файла XYZ даёт возможность пользователю Vasya удалить файл XYZ.
В системе с моделью безопасности, основанной на ACL, когда субъект запрашивает выполнение операции над объектом, система сначала проверяет список разрешённых для этого субъекта операций, и только после этого даёт (или не даёт) доступ к запрошенному действию.
При централизованном хранении списков контроля доступа можно говорить о матрице доступа, в которой по осям размещены объекты и субъекты, а в ячейках — соответствующие права. Однако в большом количестве систем списки контроля доступа к объектам хранятся отдельно для каждого объекта, зачастую непосредственно с самим объектом.
Традиционные ACL системы назначают права индивидуальным пользователям, и со временем и ростом числа пользователей в системе списки доступа могут стать громоздкими. Вариантом решения этой проблемы является назначения прав группам пользователей, а не персонально. Другим вариантом решения этой проблемы является «Управление доступом на основе ролей», где функциональные подмножества прав к ряду объектов объединяются в «роли», и эти роли назначаются пользователям. Однако, в первом варианте группы пользователей также часто называются ролями.
Файловые системы с ACL
В файловых системах для реализации ACL используется идентификатор пользователя процесса (UID в терминах POSIX).
Список доступа представляет собой структуру данных (обычно таблицу), содержащую записи, определяющие права индивидуального пользователя или группы на специальные системные объекты, такие как программы, процессы или файлы. Эти записи также известны как ACE (англ. Access Control Entries) в операционных системах Microsoft Windows и OpenVMS. В операционной системе Linux и Mac OS X большинство файловых систем имеют расширенные атрибуты, выполняющие роль ACL. Каждый объект в системе содержит указатель на свой ACL. Привилегии (или полномочия) определяют специальные права доступа, разрешающие пользователю читать из (англ. read), писать в (англ. write), или исполнять (англ. execute) объект. В некоторых реализациях ACE (Access Control Entries) могут определять право пользователя или группы на изменение ACL объекта.
Концепции ACL в разных операционных системах различаются, несмотря на существующий «стандарт» POSIX. (Проекты безопасности POSIX, .1e и .2c, были отозваны, когда стало ясно что они затрагивают слишком обширную область и работа не может быть завершена, но хорошо проработанные части, определяющие ACL, были широко реализованы и известны как «POSIX ACLs».)
Сетевые ACL
В сетях ACL представляют список правил, определяющих порты служб или имена доменов, доступных на узле или другом устройстве третьего уровня OSI, каждый со списком узлов и/или сетей, которым разрешен доступ к сервису. Сетевые ACL могут быть настроены как на обычном сервере, так и на маршрутизаторе и могут управлять как входящим, так и исходящим трафиком, в качестве межсетевого экрана.
См. также
Напишите отзыв о статье "ACL"
Ссылки
- [www.suse.de/~agruen/acl/linux-acls/online/ POSIX Access Control Lists on Linux]
- [www.rsbac.org/documentation/rsbac_handbook/security_models#access_control_lists_acl RSBAC Access Control Lists on Linux]
- [phpgacl.sourceforge.net/ Generic Access Control Lists for PHP/Perl]
- [www.c2.com/cgi/wiki?AccessControlList C2-Wiki Discussion and Relational Implementation]
- [searchsecurity.techtarget.com/sDefinition/0,,sid14_gci213757,00.html Information Security Definitions: ACL]
- [wiki.kaspersandberg.com/doku.php?id=howtos:acl Easy and detailed ACL howto for linux]
- [msdn.microsoft.com/msdnmag/issues/05/03/SecurityBriefs/default.aspx Security Briefs: Access Control List Editing in .NET]
- [msdn2.microsoft.com/en-us/library/ms229742.aspx MS Windows .NET ACL Technology]
- [wt.xpilot.org/publications/posix.1e/download.html What could have been IEEE 1003.1e/2c]
- [web.archive.org/web/20051102080247/manuals.info.apple.com/en/File_Services_v10.4.pdf Apple Mac OS X Server version 10.4+ File Services Administration Manual (see pages 16-26)]
- [aclbit.sourceforge.net/ ACLbit — ACL Backup and Inspect Tool for Linux]
- [www.u-networks.net/glavnaya/nastrojka-spiskov-dostupa-na-morshrutizatore-cisco/ Настройка и описание ACL на маршрутизаторе Cisco]
Отрывок, характеризующий ACL
– Мой друг, – послышался ему сзади отчаянный, как ему показалось, шопот княжны Марьи. Как это часто бывает после долгой бессонницы и долгого волнения, на него нашел беспричинный страх: ему пришло в голову, что ребенок умер. Всё, что oн видел и слышал, казалось ему подтверждением его страха.«Всё кончено», подумал он, и холодный пот выступил у него на лбу! Он растерянно подошел к кроватке, уверенный, что он найдет ее пустою, что нянька прятала мертвого ребенка. Он раскрыл занавески, и долго его испуганные, разбегавшиеся глаза не могли отыскать ребенка. Наконец он увидал его: румяный мальчик, раскидавшись, лежал поперек кроватки, спустив голову ниже подушки и во сне чмокал, перебирая губками, и ровно дышал.
Князь Андрей обрадовался, увидав мальчика так, как будто бы он уже потерял его. Он нагнулся и, как учила его сестра, губами попробовал, есть ли жар у ребенка. Нежный лоб был влажен, он дотронулся рукой до головы – даже волосы были мокры: так сильно вспотел ребенок. Не только он не умер, но теперь очевидно было, что кризис совершился и что он выздоровел. Князю Андрею хотелось схватить, смять, прижать к своей груди это маленькое, беспомощное существо; он не смел этого сделать. Он стоял над ним, оглядывая его голову, ручки, ножки, определявшиеся под одеялом. Шорох послышался подле него, и какая то тень показалась ему под пологом кроватки. Он не оглядывался и всё слушал, глядя в лицо ребенка, его ровное дыханье. Темная тень была княжна Марья, которая неслышными шагами подошла к кроватке, подняла полог и опустила его за собою. Князь Андрей, не оглядываясь, узнал ее и протянул к ней руку. Она сжала его руку.
– Он вспотел, – сказал князь Андрей.
– Я шла к тебе, чтобы сказать это.
Ребенок во сне чуть пошевелился, улыбнулся и потерся лбом о подушку.
Князь Андрей посмотрел на сестру. Лучистые глаза княжны Марьи, в матовом полусвете полога, блестели более обыкновенного от счастливых слёз, которые стояли в них. Княжна Марья потянулась к брату и поцеловала его, слегка зацепив за полог кроватки. Они погрозили друг другу, еще постояли в матовом свете полога, как бы не желая расстаться с этим миром, в котором они втроем были отделены от всего света. Князь Андрей первый, путая волосы о кисею полога, отошел от кроватки. – Да. это одно что осталось мне теперь, – сказал он со вздохом.
Вскоре после своего приема в братство масонов, Пьер с полным написанным им для себя руководством о том, что он должен был делать в своих имениях, уехал в Киевскую губернию, где находилась большая часть его крестьян.
Приехав в Киев, Пьер вызвал в главную контору всех управляющих, и объяснил им свои намерения и желания. Он сказал им, что немедленно будут приняты меры для совершенного освобождения крестьян от крепостной зависимости, что до тех пор крестьяне не должны быть отягчаемы работой, что женщины с детьми не должны посылаться на работы, что крестьянам должна быть оказываема помощь, что наказания должны быть употребляемы увещательные, а не телесные, что в каждом имении должны быть учреждены больницы, приюты и школы. Некоторые управляющие (тут были и полуграмотные экономы) слушали испуганно, предполагая смысл речи в том, что молодой граф недоволен их управлением и утайкой денег; другие, после первого страха, находили забавным шепелявенье Пьера и новые, неслыханные ими слова; третьи находили просто удовольствие послушать, как говорит барин; четвертые, самые умные, в том числе и главноуправляющий, поняли из этой речи то, каким образом надо обходиться с барином для достижения своих целей.
Главноуправляющий выразил большое сочувствие намерениям Пьера; но заметил, что кроме этих преобразований необходимо было вообще заняться делами, которые были в дурном состоянии.
Несмотря на огромное богатство графа Безухого, с тех пор, как Пьер получил его и получал, как говорили, 500 тысяч годового дохода, он чувствовал себя гораздо менее богатым, чем когда он получал свои 10 ть тысяч от покойного графа. В общих чертах он смутно чувствовал следующий бюджет. В Совет платилось около 80 ти тысяч по всем имениям; около 30 ти тысяч стоило содержание подмосковной, московского дома и княжон; около 15 ти тысяч выходило на пенсии, столько же на богоугодные заведения; графине на прожитье посылалось 150 тысяч; процентов платилось за долги около 70 ти тысяч; постройка начатой церкви стоила эти два года около 10 ти тысяч; остальное около 100 та тысяч расходилось – он сам не знал как, и почти каждый год он принужден был занимать. Кроме того каждый год главноуправляющий писал то о пожарах, то о неурожаях, то о необходимости перестроек фабрик и заводов. И так, первое дело, представившееся Пьеру, было то, к которому он менее всего имел способности и склонности – занятие делами.
Пьер с главноуправляющим каждый день занимался . Но он чувствовал, что занятия его ни на шаг не подвигали дела. Он чувствовал, что его занятия происходят независимо от дела, что они не цепляют за дело и не заставляют его двигаться. С одной стороны главноуправляющий выставлял дела в самом дурном свете, показывая Пьеру необходимость уплачивать долги и предпринимать новые работы силами крепостных мужиков, на что Пьер не соглашался; с другой стороны, Пьер требовал приступления к делу освобождения, на что управляющий выставлял необходимость прежде уплатить долг Опекунского совета, и потому невозможность быстрого исполнения.
