21. Управление доступом(уровень серверов, бд, документов,полей документов).

Организации всего мира приступили к созданию приложений группового ПО, охватывающих все предприятие и даже заказчиков и поставщиков за его пределами. Хотя информация всегда ревниво охранялась отдельными личностями, отделами и компаниями, современные требования конкурентной борьбы ставят организации перед необходимостью сломать традиционные барьеры внутри предприятия и между различными предприятиями. Это необходимо для коллективного использования информации в тех случаях, когда коллективный доступ позволяет сократить время выполнения определенного процесса или способствует появлению новых и творческих решений.

Однако, большая часть информации, коллективно используемой в приложении группового ПО, должна тем не менее оставаться конфиденциальной, защищенной от случайного или злонамеренного доступа. Поэтому платформа группового ПО должна включать в себя средства защиты данных, достаточно мощные для защиты от диверсий жизненно важной деловой информации и достаточно гибкие, чтобы обладающий соответствующими полномочиями конечный пользователь мог бы назначать различные уровни доступа к отдельным документам.

Управление доступом. В списках управления доступом (access control list, ACL) определяется, кто имеет доступ к каждому из ресурсов и какими правами по их использованию он обладает (например, составление документов, чтение, запись, удаление). Ресурсы в списках управления доступом включают в себя серверы, отдельные базы данных, документы и поля в документах.

Списки управления доступом иногда включают в себя следующие уровни:

Хранитель: имеет право только записывать информацию в базу данных. Их применение полезно для баз данных, информация в которые заносится с помощью электронной почты, для баз данных, используемых при голосовании и т. д.

Читатель: как следует из названия, читатель может только читать документы из базы данных.

Автор: могут создавать в базе данных новые документы и читать уже имеющиеся там, но не могут модифицировать документы в базе данных.

Редактор: редакторы могут читать, записывать и модифицировать документы в базе данных.

Дизайнер: этот пользователь имеет право обновлять или изменять схему построения базы данных.

Менеджер: этот пользователь является "владельцем" базы данных, и он может добавлять или удалять других пользователей из списка управления доступом.

Шифрование на уровне полей. Иногда пользователю необходимо коллективно использовать информацию из одного поля документа с другим пользователем, обеспечив при этом защиту этого поля для доступа другими пользователями. Шифрование включает в себя зашифровку или кодирование информации, так что даже если к ней получит доступ неуполномоченное лицо, то понять содержимое будет невозможно.

Access Control List или ACL — список контроля доступа, который определяет, кто или что может получать доступ к конкретному объекту, и какие именно операции разрешено или запрещено этому субъекту проводить над объектом. Списки контроля доступа являются основой систем с избирательным управлением доступом.

В системе с моделью безопасности, основанной на ACL, когда субъект запрашивает выполнение операции над объектом, система сначала проверяет список разрешённых для этого субъекта операций, и только после этого даёт (или не даёт) доступ к запрошенному действию. При централизованном хранении списков контроля доступа можно говорить о матрице доступа, в которой по осям размещены объекты и субъекты, а в ячейках — соответствующие права.

Однако в большом количестве систем списки контроля доступа к объектам хранятся отдельно для каждого объекта, зачастую непосредственно с самим объектом. Традиционные ACL системы назначают права индивидуальным пользователям, и со временем и ростом числа пользователей в системе списки доступа могут стать громоздкими. Вариантом решения этой проблемы является назначения прав группам пользователей, а не персонально. Другим вариантом решения этой проблемы является «Управление доступом на основе ролей», где функциональные подмножества прав к ряду объектов объединяются в «роли», и эти роли назначаются пользователям.