सूचना सुरक्षा में प्राधिकरण (Authorization)
प्राधिकरण किसी को कुछ करने की अनुमति देने की प्रक्रिया है। यह परिभाषित करता है कि क्या उपयोगकर्ता के पास किसी संसाधन की आवश्यकता के लिए अनुमति है या नहीं। यह दर्शा सकता है कि एक उपयोगकर्ता कौन सा डेटा और जानकारी एक्सेस कर सकता है।
इसे AuthZ भी कहा जाता है। प्राधिकरण आमतौर पर प्रमाणीकरण के साथ काम करता है ताकि सिस्टम यह समझ सके कि जानकारी कौन एक्सेस कर रहा है। प्राधिकरण एक सुरक्षा संरचना है जिसका उपयोग उपयोगकर्ता/क्लाइंट विशेषाधिकारों या सिस्टम संसाधनों से जुड़े पहुंच स्तरों को तय करने के लिए किया जाता है, जैसे कंप्यूटर प्रोग्राम, फाइलें, सेवाएं, डेटा और एप्लिकेशन सुविधाएं।
प्राधिकरण आमतौर पर ग्राहक पहचान सत्यापन के लिए प्रमाणीकरण से पहले होता है। सिस्टम प्रशासक (SA) आमतौर पर कुछ सिस्टम और ग्राहक संसाधनों को कवर करने वाले अनुमति स्तर सौंपे जाते हैं।
प्राधिकरण के दौरान, एक सिस्टम एक प्रमाणित उपयोगकर्ता के एक्सेस नियमों की जांच करता है और या तो संसाधन पहुंच प्रदान करता है या अस्वीकार करता है। आधुनिक और बहु-उपयोगकर्ता ऑपरेटिंग सिस्टम एप्लिकेशन तैनाती और प्रशासन का समर्थन करने के लिए कुशलतापूर्वक डिज़ाइन की गई प्राधिकरण प्रक्रियाओं पर आधारित हैं।
मुख्य कारक जैसे उपयोगकर्ता प्रकार, संख्या, और सत्यापन की आवश्यकता वाले क्रेडेंशियल्स और संबंधित कार्रवाइयां और भूमिकाएं। उदाहरण के लिए, भूमिका-आधारित प्राधिकरण को निश्चित उपयोगकर्ता संसाधन ट्रैकिंग विशेषाधिकारों की आवश्यकता वाले उपयोगकर्ता समूहों द्वारा नामित किया जा सकता है।
इसके अलावा, प्राधिकरण एक एंटरप्राइज़ प्रमाणीकरण संरचना पर आधारित हो सकता है, जैसे एक्टिव डायरेक्टरी (AD), निर्बाध सुरक्षा नीति एकीकरण के लिए। उदाहरण के लिए, ASP.NET इंटरनेट इंफॉर्मेशन सर्वर (IIS) और माइक्रोसॉफ्ट विंडोज के साथ काम करता है ताकि इंटरनेट-आधारित .NET एप्लिकेशन के लिए प्रमाणीकरण और प्राधिकरण सेवाएं प्रदान की जा सकें।
विंडोज न्यू टेक्नोलॉजी फाइल सिस्टम (NTFS) का उपयोग सभी संसाधनों के लिए एक्सेस कंट्रोल लिस्ट (ACL) का समर्थन करने के लिए करता है। ACL संसाधन पहुंच पर अंतिम प्राधिकरण के रूप में कार्य करता है। .NET फ्रेमवर्क प्राधिकरण समर्थन के लिए एक वैकल्पिक भूमिका-आधारित सुरक्षा विधि प्रदान करता है।
भूमिका-आधारित सुरक्षा एक गतिशील दृष्टिकोण है जो सर्वर एप्लिकेशन के अनुकूल है और कोड एक्सेस सुरक्षा जांच के समान है, जहां अधिकृत एप्लिकेशन उपयोगकर्ताओं को भूमिकाओं के अनुसार तय किया जाता है।
एक प्राधिकरण नीति इंगित करती है कि पहचान को क्या करने की अनुमति है। उदाहरण के लिए, बैंक का कोई भी ग्राहक पहचान (जैसे उपयोगकर्ता नाम) बना सकता है और उपयोग कर सकता है ताकि उस बैंक की ऑनलाइन सेवा में लॉग इन किया जा सके लेकिन बैंक की प्राधिकरण नीति को यह सुनिश्चित करना चाहिए कि पहचान सत्यापित होने के बाद केवल वह व्यक्तिगत खाते को ऑनलाइन एक्सेस करने के लिए अधिकृत है।
प्राधिकरण का उपयोग केवल वेबसाइट या कंपनी इंट्रानेट की तुलना में अधिक दानेदार स्तरों पर किया जा सकता है। व्यक्तिगत पहचान को पहचान के एक सेट में शामिल किया जा सकता है जो एक सामान्य प्राधिकरण नीति साझा करते हैं।
उदाहरण के लिए, मान लीजिए एक डेटाबेस जिसमें ग्राहक खरीद और ग्राहक की व्यक्तिगत और क्रेडिट कार्ड डेटा दोनों शामिल हैं।
एक व्यापारी इस डेटाबेस के लिए एक प्राधिकरण नीति बना सकता है ताकि मार्केटिंग समूह को सभी ग्राहक खरीद तक पहुंचने की अनुमति मिले लेकिन सभी उपयोगकर्ता व्यक्तिगत और क्रेडिट कार्ड डेटा तक पहुंच से रोका जा सके, ताकि मार्केटिंग टीम प्रचार या बिक्री पर रखने के लिए प्रसिद्ध उत्पादों की पहचान कर सके।
