delegowanie dostępu

Delegowanie dostępu to alternatywne, ogólne określenie procesu przekazania uprawnień innej osobie lub systemowi.

Delegowanie dostępu jako przekazanie uprawnień

Delegowanie dostępu oznacza przekazanie określonego zakresu uprawnień innej osobie, aplikacji albo składnikowi systemu. Nie jest to zwykle równoznaczne z przekazaniem hasła do konta. W prawidłowo zaprojektowanym mechanizmie użytkownik zachowuje własną tożsamość, a druga strona otrzymuje tylko te prawa, które są potrzebne do wykonania konkretnego zadania. Uprawnienia mogą obejmować na przykład odczyt plików, ich modyfikowanie, uruchamianie programu, korzystanie z drukarki albo dostęp do wybranego zasobu sieciowego.

W systemach komputerowych trzeba odróżnić uwierzytelnianie od autoryzacji. Uwierzytelnianie potwierdza, kim jest osoba lub proces, natomiast autoryzacja określa, jakie działania są dozwolone po pomyślnym zalogowaniu. Delegowanie dostępu dotyczy przede wszystkim autoryzacji, choć może korzystać z dodatkowych mechanizmów uwierzytelniania. Zakres przekazanych praw powinien być opisany precyzyjnie: kto uzyskuje dostęp, do czego, na jak długo oraz czy może przekazywać otrzymane uprawnienia dalej.

Zakres praw i czas obowiązywania delegacji

Delegacja może mieć charakter stały albo czasowy. Dostęp stały pozostaje aktywny do chwili jego ręcznego odebrania lub zmiany zasad systemowych. Dostęp czasowy wygasa po określonym terminie albo po zakończeniu wskazanego procesu. W praktyce czasowe nadanie uprawnień ogranicza ryzyko pozostawienia aktywnego dostępu po wykonaniu zadania. Warto także rozróżnić prawo do korzystania z zasobu od prawa do dalszego delegowania tego zasobu. Osoba, która może odczytywać dokument, nie musi mieć prawa do udostępniania go kolejnym użytkownikom.

Bezpieczny model opiera się na zasadzie najmniejszych uprawnień. Oznacza ona przyznanie wyłącznie minimalnego zakresu praw koniecznego do realizacji celu. Przykładowo konto używane do odczytu instrukcji nie powinno otrzymywać prawa zapisu w całym katalogu, a program służący do drukowania nie powinien mieć dostępu do prywatnych folderów użytkownika. Przydzielanie uprawnień do grup, zamiast osobnego ustawiania ich dla każdej osoby, ułatwia zarządzanie, ale wymaga regularnego przeglądania członkostwa w tych grupach.

Odebranie delegacji powinno być równie jednoznaczne jak jej nadanie. Samo usunięcie skrótu, zapisanej sesji lub lokalnej kopii pliku nie cofa uprawnień zapisanych na serwerze albo w systemie operacyjnym. Należy sprawdzić bezpośrednie prawa użytkownika, członkostwo w grupach, dziedziczenie uprawnień z katalogów nadrzędnych oraz aktywne tokeny sesji. W niektórych aplikacjach konieczne jest także wylogowanie innych urządzeń lub unieważnienie wcześniej wydanych kluczy dostępu.

Delegowanie między programami i usługami

Program może działać w imieniu użytkownika albo korzystać z własnej tożsamości technicznej. Te dwa modele mają różne konsekwencje. Jeżeli aplikacja otrzymuje uprawnienia użytkownika, jej działania mogą być ograniczone do zasobów dostępnych temu użytkownikowi, ale awaria lub przejęcie aplikacji może narazić te zasoby. Jeżeli program korzysta z osobnego konta, trzeba kontrolować jego prawa niezależnie od kont osób fizycznych. W obu przypadkach należy unikać przechowywania haseł w kodzie, zwykłych plikach konfiguracyjnych i niezaszyfrowanych notatkach.

Delegowanie jest często realizowane za pomocą tokenu, klucza dostępowego albo biletu uwierzytelniającego. Taki obiekt powinien mieć określone przeznaczenie, zakres oraz czas ważności. Token przeznaczony wyłącznie do odczytu nie powinien pozwalać na usuwanie danych, a token dla jednej aplikacji nie powinien działać w niepowiązanej usłudze. Przy diagnozowaniu problemu trzeba ustalić, czy błąd wynika z braku uprawnienia, wygaśnięcia tokenu, nieprawidłowej tożsamości procesu, różnicy czasu systemowego czy zablokowanej polityki bezpieczeństwa.

Istotnym elementem jest rejestrowanie operacji. Log powinien umożliwiać ustalenie, jaka tożsamość uzyskała dostęp, jaki zasób został użyty, kiedy wykonano operację oraz czy nastąpiło przekazanie praw dalej. Brak takich informacji utrudnia odróżnienie błędnej konfiguracji od rzeczywistego użycia konta. Podczas analizy należy porównywać konfigurację uprawnień z logami, a nie wyciągać wniosków wyłącznie na podstawie komunikatu „odmowa dostępu”.

Sprawdzenie delegowanego dostępu na komputerze

Na laptopie lub komputerze PC kontrolę należy rozpocząć od ustalenia zasobu, którego dotyczy problem: pliku, folderu, drukarki, udziału sieciowego, aplikacji albo konta. Następnie trzeba sprawdzić, z jakiego konta uruchomiono program i czy użytkownik korzysta z właściwego profilu. Pomocne jest odtworzenie dokładnej operacji, która kończy się błędem, oraz porównanie jej z operacją wykonywaną przez właściciela zasobu. W systemie Windows należy zwrócić uwagę na uprawnienia systemu plików NTFS, uprawnienia udziału sieciowego, członkostwo w grupach i dziedziczenie. Efektywny dostęp może wynikać z połączenia kilku reguł, dlatego pojedynczy wpis w ustawieniach nie zawsze pokazuje pełny obraz.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, a przy problemach z delegowaniem dostępu można rozpocząć od sprawdzenia konfiguracji systemu, kont użytkowników oraz działania aplikacji. Diagnostyka powinna obejmować także komunikaty błędów, stan aktualizacji, poprawność profilu użytkownika i możliwość odtworzenia problemu. Przed zmianą uprawnień warto zapisać dotychczasową konfigurację, aby można było ocenić skutek modyfikacji i wrócić do poprzednich ustawień.