数据访问控制..
数据库访问控制的实现与管理
数据库访问控制的实现与管理数据库是现代信息系统中不可或缺的关键组件之一，承载着海量数据并提供可靠的存储和访问功能。
然而，在一个复杂的组织环境中，数据库的安全性与访问控制往往成为保护敏感数据和避免未经授权访问的重要问题。
本文将详细介绍数据库访问控制的实现与管理方法，包括权限管理、身份验证、审计和监控等方面的内容。
数据库访问控制旨在确保只有经过授权的用户或应用程序能够访问数据库，同时防止未经授权的访问或修改。
实现有效的数据库访问控制可以帮助组织遵循相关法规要求，防止数据泄露和损坏，并提高数据库的整体安全性。
首先，权限管理是数据库访问控制的重要组成部分。
权限管理涉及到数据库对象（如表、视图、存储过程等）的权限授予和撤销。
通常情况下，数据库会为每个用户分配一定的权限级别，该级别决定了用户可以执行的操作。
例如，数据库管理员通常具有最高权限，可以对数据库中的所有对象进行完全控制，而普通用户则只能执行特定的操作，如查询数据或进行简单的数据修改。
为了实现具体的权限管理，数据库系统通常提供了类似于GRANT和REVOKE的操作命令，在授权用户对特定对象进行操作。
其次，身份验证也是实现有效数据库访问控制的关键步骤。
身份验证的目的是确认用户的身份以及核实其所声称的访问权限。
数据库系统通常会要求用户使用用户名和密码进行身份验证，以确保只有授权用户能够登录数据库，并执行相应的操作。
此外，还可以采取其他身份验证方式，如基于证书的身份验证、双因素身份验证等，进一步加强用户身份的确认。
另外，审计和监控是数据库访问控制的重要环节之一。
通过对数据库操作的审计和监控，可以实时跟踪数据库活动，并及时识别潜在的安全威胁或异常行为。
审计和监控可以记录登录和退出事件、敏感数据的访问情况、数据变更记录等，同时还可以捕获异常操作、非法访问尝试和破坏行为等。
这些操作日志的分析和报告有助于发现安全问题并提供有效的应对措施。
除了上述方法，数据库访问控制也可以通过实施严格的访问策略和访问控制列表（ACL）来加强安全性。
数据库管理技术中的数据访问控制与权限管理注意事项总结
数据库管理技术中的数据访问控制与权限管理注意事项总结在数据库管理技术中，数据访问控制与权限管理是确保数据安全性和私密性的关键组成部分。
合理的数据访问控制和权限管理能够有效地避免未授权的访问或篡改数据库内容的风险。
本篇文章将总结一些在数据库管理中值得注意的数据访问控制与权限管理的注意事项。
1. 需要遵循最小权限原则在设置权限时，采用最小权限原则是十分重要的。
即给予用户或角色所需的最低权限，不多于其工作职责或任务所要求的权限。
这样做有助于限制用户访问敏感数据并减少潜在的数据泄露风险。
此外，也可以细化权限，每个用户可以根据需求定制自己的访问权限。
2. 使用复杂的密码策略强大的密码是保护数据不被未授权访问的重要措施之一。
为了确保数据库的安全性，应该制定并实施复杂的密码策略。
这包括要求用户在设置密码时使用大写和小写字母、数字和特殊字符，同时还需要设置密码长度的最小限制。
另外，通过定期更换密码来增加安全性。
3. 定期进行访问权限审计对数据库中的访问权限进行定期审核和审计是非常重要的。
审计可以识别任何异常或潜在的数据库访问风险。
通过定期审计，可以及时发现并修复不当的权限分配或非法活动，并确保只有授权的用户可以继续访问数据库。
4. 使用强大的身份验证方法身份验证是确定用户真实身份的重要方式。
除了密码身份验证外，使用多因素身份验证（MFA）也是数据库管理中一个重要的选项。
MFA要求用户在登录时提供两个或多个独立的验证因素，例如密码、指纹、面部识别或一次性验证码。
这种方法可以有效地增强用户身份验证的安全性，降低被攻击者冒充的风险。
5. 注重数据加密对于数据库中的敏感数据，应该优先考虑数据加密。
加密可以在数据传输和存储期间保护敏感信息。
在传输中使用安全的网络协议，如SSL或TLS，以保护数据的传输过程。
而在存储过程中，敏感数据可以通过对数据库表或字段进行加密来实现额外的保障。
6. 多级权限管理不同用户对数据库需要访问的数据和功能可能有所不同。
数据加密与访问控制
数据加密与访问控制数据在现代社会中扮演着重要的角色，无论是个人隐私还是商业机密都需要得到保护。
为了确保数据的安全性，数据加密和访问控制成为了不可或缺的手段。
本文将介绍数据加密与访问控制的概念、原则以及应用。
一、数据加密的概念和原则数据加密是指通过对数据进行转换或者编码，使得只有授权的用户能够解读和访问数据。
数据加密的主要原则包括保密性、完整性和可用性。
1. 保密性：数据加密的核心目标是确保数据只能被授权的用户阅读和理解。
通过使用加密算法，将原始数据转化为无法直接被识别和理解的密文，即使密文被非授权用户获取，也无法获取其中的有用信息。
2. 完整性：数据加密还通过检验和校验的方式保证数据的完整性。
在数据传输和存储过程中，通过添加校验码或者数字签名等方法，确保数据没有被篡改或者损坏。
3. 可用性：数据加密需要确保在授权的用户可以正常使用数据。
加密和解密的过程应该高效、快速，并且不应对数据的可用性造成太大的影响。
二、常用的数据加密方法数据加密可以通过多种方法实现，如对称加密、非对称加密和散列函数。
1. 对称加密：对称加密使用同一个密钥来进行加密和解密。
发送方和接收方必须共享同一个密钥，密钥的安全性成为了关键。
常见的对称加密算法有DES、AES等。
2. 非对称加密：非对称加密使用一对密钥，分别为公钥和私钥。
公钥用于加密数据，私钥用于解密数据。
由于私钥只有接收方有，所以可以更好地保护数据的安全性。
常见的非对称加密算法有RSA、DSA 等。
3. 散列函数：散列函数是一种不可逆的加密方式，它将数据映射为一个固定长度的字符串，称为哈希值。
散列函数广泛用于验证数据的完整性，一小段数据的改变都会导致哈希值的变化，从而可以检测到数据的篡改。
常见的散列函数有MD5、SHA-1等。
三、访问控制的概念和原则访问控制是指通过控制用户对数据的访问权限，保证只有授权的用户可以获得和修改数据。
访问控制的核心原则包括最小权限原则、分离性原则和审计原则。
数据库访问控制限制未授权访问
数据库访问控制限制未授权访问在当今信息技术高度发展的时代，数据库（Database）已成为各个行业和领域中不可或缺的一部分。
然而，数据库的安全性问题也日益凸显，其中一项重要的问题就是数据库访问控制的限制。
如果未能妥善设置和管理数据库的访问权限，将很容易导致未授权访问的问题，给企业和个人带来隐私泄露和数据损失的风险。
数据库访问控制是指在数据库管理系统中，通过对用户进行认证与授权，限制用户的访问权限的一项技术措施。
它可以确保只有经过授权的用户才能访问数据库，并且只能访问其具备权限的数据。
这种访问控制的限制在保护数据库的机密性、完整性和可用性方面起到至关重要的作用。
首先，为了实施数据库访问控制，我们需要确定合适的认证机制。
通常，数据库管理系统（DBMS）提供了多种认证方式，如用户名和密码、数字证书、指纹识别等。
使用用户名和密码进行验证是最常见和简单的方式，但是它也容易受到暴力破解等攻击方式的影响。
因此，为了增强认证的安全性，我们可以采用多因素认证，如结合密码和指纹双重验证，确保只有合法用户才能通过认证。
其次，数据库管理员需要合理地分配和管理用户的访问权限。
这是通过授权机制实现的，即为每个用户分配适当的权限级别，并且只允许其访问其具备权限的数据。
在数据库中，通常涉及到读取、修改、删除等操作，因此必须根据用户的职责和需要进行细致的权限划分。
例如，对于一名财务部门的员工来说，其只需要读取财务数据的权限，而不需要修改或删除数据的权限。
合理地授权不仅可以保护数据库中重要的数据，还能避免用户误操作或滥用权限而导致的数据损坏。
此外，为了避免数据库发生未授权访问的情况，数据库管理员还需要定期审计和监控用户的访问行为。
通过日志记录和审计功能，可以跟踪并监测用户对数据库的访问操作，及时发现异常行为并采取相应的措施。
例如，如果一个用户频繁地查询大量的敏感数据，超过了其正常的工作范围，那么就需要对其进行调查，并及时采取措施防止数据泄漏。
数据库访问控制与数据传输加密
数据库访问控制与数据传输加密在当今信息化的社会中，数据库安全问题备受关注。
数据库是各种组织和企业存储大量敏感数据的重要工具，因此确保数据库的安全性至关重要。
本文将探讨数据库访问控制与数据传输加密的重要性以及实施方法。
一、数据库访问控制的重要性数据库访问控制是通过限制对数据库的访问和操作来保护数据的安全性和完整性。
它起到了筛选和过滤用户，保护敏感数据的作用。
合理的数据库访问控制可以防止未经授权的用户访问和篡改数据，提高数据的可靠性。
为了实现数据库访问控制，可以采取以下几种方法：1. 用户账号管理：通过合理的用户账号管理，为每个用户分配独立的账号和密码，并设置权限规则。
只有授权用户才可以访问和操作数据库，从而限制未授权用户的访问。
2. 角色权限控制：数据库管理员可以通过角色权限的控制，将用户划分为不同的角色，每个角色拥有不同的权限。
通过为角色设置权限，降低了管理工作的复杂性，提高了安全性。
3. 审计日志：审计日志可以记录数据库的访问情况和操作记录，对数据库的安全性进行监控和审查。
当有异常活动发生时，可以及时发现并采取相应的措施。
二、数据传输加密的重要性除了数据库访问控制外，数据传输的加密也是保护数据库安全的重要手段。
在数据传输过程中，数据容易受到黑客的窃听和篡改，因此通过加密数据可以提高数据的保密性和完整性。
以下是一些常见的数据传输加密方法：1. SSL/TLS协议：SSL/TLS协议是一种常用的数据传输加密协议，通过在通信的两端进行握手和秘钥交换，实现了对数据的加密和身份验证。
2. VPN（虚拟私人网络）：VPN通过在公共网络上建立安全的隧道，将数据进行加密传输。
通过VPN可以建立远程访问数据库的安全连接，保护数据的安全性。
3. HTTPS协议：HTTPS协议是在HTTP协议上加入SSL/TLS协议的安全通信方式，通过使用数字证书对网站进行身份认证，实现了数据传输的安全性。
三、综合数据安全措施要确保数据库的完整性和安全性，数据库访问控制和数据传输加密是必不可少的，但这并不是唯一的措施。
数据库数据访问控制的漏洞与预防措施
数据库数据访问控制的漏洞与预防措施数据库在现代信息系统中起着至关重要的作用，但随着数据量的不断增加和复杂的数据处理需求，数据库数据访问控制的安全性也成为重要的关键问题。
数据库数据访问控制的漏洞可能导致数据泄露、篡改和未经授权的访问，给企业和个人带来严重影响。
为了保护数据库的安全，及早发现并预防这些漏洞是非常必要的。
本文将重点讨论数据库数据访问控制的漏洞以及相关的预防措施。
首先，我们将介绍常见的数据库数据访问控制漏洞，包括弱密码，未经授权访问，数据注入以及特权提升等问题。
随后，我们将提供一些建议和措施来预防这些漏洞。
弱密码是最常见的数据库漏洞之一。
许多用户使用弱密码，如123456或password，这为攻击者提供了入侵数据库的机会。
为避免这个问题，用户需要设置复杂的密码，包括字母、数字和特殊字符，并定期修改密码。
此外，数据库管理员还应该禁止使用默认的用户名和密码，并实施密码策略要求用户定期更改密码。
未经授权访问是另一个数据库数据访问控制的漏洞。
许多组织在实施数据库访问控制时没有严格限制用户的权限。
攻击者可以利用这个漏洞获取敏感信息或进行破坏性活动。
为了防止未经授权访问，数据库管理员应采用最小权限原则，即为每个用户设置最小的权限级别，仅允许用户访问其所需的数据和功能。
此外，定期审计数据库的访问日志，及时发现并调查异常活动。
数据注入是数据库数据访问控制中最严重的漏洞之一。
攻击者通过注入恶意代码来修改数据库查询或命令，从而绕过验证机制获取敏感数据。
预防数据注入攻击的关键是使用参数化查询。
这种方法可以将用户输入的数据编码，并避免直接将用户输入作为查询的一部分。
此外，输入验证和过滤也是防止数据注入攻击的有效措施。
定期更新数据库系统和应用程序的补丁也是保护数据库安全的重要步骤。
特权提升是指攻击者通过获取管理员权限或其他高权限账户来访问数据库的漏洞。
一些组织在不严格限制管理员权限的情况下运行数据库，这为攻击者提供了特权提升的机会。
数据库访问控制限制用户对数据库的访问权限
数据库访问控制限制用户对数据库的访问权限数据库是现代信息系统中不可或缺的组成部分，它承载着大量的数据并提供对这些数据的管理和查询功能。
然而，对于数据库中存储的信息来说，保护其安全性是至关重要的。
因此，数据库访问控制机制应运而生，它们能够限制用户对数据库的访问权限，确保只有授权的用户才能对数据库进行操作。
1. 角色权限管理在数据库中，通常会根据用户的职责和权限分配相应的角色。
角色定义了一组特定的操作权限，便于管理用户的权限。
通过角色权限管理，数据库管理员可以更加方便地管理大量用户的权限，而不需要逐个处理每个用户。
例如，在一个企业的数据库中，可以创建一个"管理员"角色，并赋予该角色对数据库的完全访问权限，同时创建"普通用户"角色，并限制其只能对指定数据表进行查询和更新操作。
2. 对象级权限控制除了角色权限管理之外，数据库还可以使用对象级权限控制来限制用户对某些具体数据库对象的访问。
数据库中的对象可以是表、视图、存储过程等。
通过设置不同的对象级权限，可以确保用户只能对其具有访问权限的对象进行操作。
例如，对于一个银行的数据库，只有经过授权的员工才能对客户的账户表进行查询和更新操作，其他非授权人员无法访问该表。
3. 列级权限控制在某些情况下，即使是授权用户，也可能需要限制其对某些数据列的访问权限。
数据库可以提供列级权限控制机制，允许管理员根据需要对用户的访问权限进行更加精细的划分。
例如，在一个学生信息系统的数据库中，教师用户可以查询和更新学生信息表的所有字段，但只能查看学生的成绩，而无法访问学生的家庭联系信息。
4. 数据行级权限控制除了列级权限控制之外，数据库还提供了数据行级权限控制功能，可以针对不同的数据行设置不同的访问权限。
这在一些特殊场景下起到重要作用，例如医疗系统中的病例数据。
只有与特定病例相关的医生才能访问和操作该病例的详细信息，其他医生和工作人员只能看到一些基本的概要信息。
数据安全需求的表述
数据安全需求的表述数据安全需求的表述随着信息化时代的到来，数据已经成为企业最重要的资产之一。
因此，数据安全成为了企业最重要的任务之一。
在这个过程中，需要对数据安全进行有效的管理和保护。
本文将从以下几个方面详细阐述数据安全需求的表述。
一、数据安全需求的定义数据安全需求是指企业或组织对其拥有的各种类型的数据所提出的保护要求。
这些要求包括保密性、完整性和可用性等方面。
二、保密性1. 数据访问控制访问控制是指通过技术手段对用户进行身份验证，并控制用户可以访问哪些数据和操作。
在这个过程中，需要实现以下功能：（1）用户身份验证：通过用户名和密码等方式对用户进行身份验证，确保只有合法用户才能访问系统。
（2）权限控制：根据不同角色或职位设置不同权限，确保只有具备相应权限的用户才能访问特定数据。
（3）审计日志：记录所有系统操作事件以及与之相关联的信息，以便追踪和检查操作行为。
2. 数据加密加密是指将明文信息转换为密文信息，并通过技术手段实现解密过程。
在数据存储和传输过程中，需要对数据进行加密保护，以确保数据的保密性。
三、完整性1. 数据备份与恢复备份是指将数据复制到另一个位置或设备，以便在原始数据丢失或损坏时进行恢复。
在这个过程中，需要实现以下功能：（1）定期备份：根据业务需求和系统情况定期备份数据。
（2）备份验证：对备份的数据进行验证以确保其完整性和可用性。
（3）快速恢复：在出现故障时，能够快速恢复系统并保证业务连续性。
2. 数据校验与验证校验和验证是指通过技术手段对数据的完整性进行检查，并确保其未被篡改或损坏。
在这个过程中，需要实现以下功能：（1）完整性检查：通过计算校验和等方式对数据进行完整性检查。
（2）数字签名：通过数字证书等方式对数据进行签名认证以确保其来源可信。
四、可用性1. 系统容错与高可用容错是指系统出现故障时能够自动切换到备用系统，并继续提供服务。
高可用是指系统能够持续提供服务并满足业务需求。
在这个过程中，需要实现以下功能：（1）冗余设计：通过备用系统或设备等方式实现系统的容错和高可用。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
鉴别
生物技术度量 优化生物技术（optimal CER） 其他方面的考虑
对伪造的抵制 数据存储需求 用户可接受度 可用性和精确性
22
鉴别
令牌
令牌设备是常见的一次性密码（One-Time Password,OTP）实现机制，为用 户生成向身份验证服务器提交的一次性密码。 令牌设备与用户访问的计算机分离，它与身份验证服务器以某种方式同步，
3
访问控制概念
访问控制：针对越权使用资源的防御措施
目标：防止对任何资源（如计算资源、通信资源或信息资源）进行未
授权的访问，从而使资源在授权范围内使用，决定用户能做什么，也 决定代表一定用户利益的程序能做什么。
未授权访问：包括未经授权的使用、泄露、修改、销毁信息以及颁发
指令等。
非法用户对系统资源的使用 合法用户对系统资源的非法使用
5
访问控制概念
信息分级
定义
评估组织的信息资产的风险等级，保障信息资产确实得到适当的安全保护。
原因
对所有的信息资产实施同一级别的安全保护不但可能会导致资源的浪费，而且会 导致某些资产过保护而某些资产则保护力度不足。
信息分级的好处
极大提升组织的安全意识； 关键信息被识别出来，同时得到更好的保护； 对敏感信息的处理有了更清晰的指导； 建立了资产的所有关系以及管理员和用户的关系；
信息分级
所有者（owner）
通常是管理层的一员，对信息的保护和使用负有最终的责任； 负有“适度关注（due care）”责任，保障信息得到合适的安全控制； 决定信息的安全级别； 指派管理员数据日常保护以及维护的职责。
管理者（custodian）
负责数据的日常保护和维护； 通常由IT人员担当； 负有“适度勤勉（due diligence）”责任； 日产工作包括周期的备份、恢复以及验证数据的完整性。
申请页面1 浏览器 返回页面1 申请页面2 Web server
返回页面2
浏览器和服务器之间有约定：通过使用cookie技术来维护应用的状态
申请页面1 浏览器 返回页面1，并设置cookie 申请页面2，并带上cookie 返回页面2 Web server
Web-SSO完全可以利用Cookie结束来完成用户登录信息的保存，将浏览器中 的Cookie和上文中的Ticket结合起来，完成SSO的功能
用户（user）
在相关工作中使用数据的任何人。
8
内容目录
访问控制基本概念 访问控制步骤与应用 访问控制模型 访问控制技术
访问控制层次
控制的分类 访问控制的管理 访问控制实践 访问控制的威胁
9
访问控制的步骤
1、Identification：宣称用户的身份
身份管理面临的挑战（challenges）
一致性（consistent）:输入不同系统的用户数据应当保持一致；
效率（efficiency）:更好的选择是一个用户名可以访问多个系统； 可用性（usability）：对用户而言，多个系统、多个用户名和多密码可能是个较大的 负担；
可靠性（Reliability）:用户个人数据必须是可靠的；
典型的方式是在web服务器前端使用插件；
目录服务与关系数据库的区别
目录不支持批量更新所需要的事务处理功能，目录一般只执行简单的更新操作，适合于进
行大量的数据的检索；
目录具有广泛复制信息的能力，从而在缩短响应时间的同时，提高了可用性和可靠性。
14
身份管理
Web协议（即HTTP）是一个无状态的协议
验证（authentication）
鉴别身份是生物技术最主要的应用； 通过人的生物特征（biometrics traits）来验证； 完成一个一对一（one to one）的匹配。
阻止欺诈（Fraud prevetion）是生物技术的另一个运用
19
鉴别
生物技术 遗传特性
面部识别 DNA匹配 手型 声音辨认
从而对用户进行身份验证。
同步模式
基于时间同步 基于计数器同步
异步模式
23
鉴别
令牌操作模式 基于时间同步模式
图1
图2
24
鉴别
令牌操作模式 异步模式 挑战/响应
1.
5.
4. 2. (1)工作站上显示挑战值 3. （2）用户将挑战值输入令牌设备 （3）令牌设备向用户提供一个不同的值 （4）用户将新值和PIN输入工作站 （5）新值发送至服务器上的身份验证服务 （6）身份验证服务期望特定值 （7）用户通过身份验证并被允许访问工作站 25
第三章 数据访问控制
刘晓梅
1
内容目录
访问控制基本概念 访问控制步骤与应用 访问控制模型 访问控制技术 访问控制层次
控制的分类
访问控制的管理 访问控制实践 访问控制的威胁
2
访问控制介绍
访问控制是可以帮助系统管理员直接或者间接可控地 对系统行为、使用和内容实施控制的机制的集合。 管理员可以根据访问控制定义用户可以访问哪些资源， 可以进行哪些操作。 通常，访问控制批准或者限制任何对资源的访问，监 控和记录访问企图，识别访问用户，并且确定其访问是否 得到授权的硬件/软件/策略。
Randotypic traits
指纹 眼睛扫描
血脉模式
行为特征
签名分析 击键动作
20
鉴别
生物技术度量 对生物系统的准确性（accuracy）或敏感度（sensitivity）的调整将导致 两类错误：
第一类错误（假阳性，false positive）
当精确度提高后，一些合法用户将错误的拒绝； 错误拒绝率，错误拒绝率越低，生物鉴别系统越好。 第二类错误（假阴性，false negative）
确定用户：确定用户是管理资源的第一步；标示谁有访问权限；访问
权限与用户的需要和信任的级别。
2、Authentication：验证用户的身份
确定资源：资源可是信息、应用、服务、打印机、存储处理以及任何
信息资产；确定资源的CIA。
3、Authorization：指定使用
确定用户的级别或者是控制级别；确定用户许可的操作。
如果由于新信息的替代、公司发生的真实变化或者其他原因，信息过时了， 可以对其解除分类。
人员关联（personnel association）
如果信息与特定个人相关，或者法律（如隐私法）、规章和责任要求中指出
的，需要分类。例如，如果调查信息揭示了调查者的名字，就需要保留分类。 7
访问控制概念
容易攻击：字典攻击（dictionary attack）是可行攻击方式；
不便利：组织通常给用户发布计算机产生的密码，往往这些密码难以记忆；
可否认性（repudiable）:不像一个手写的签名，如果一个交易的完成仅仅是依靠一个密 码，那么没有任何实际的证据表明是某个用户完成的。
17
鉴别
生物技术 什么是生物技术
13
Profile update:用户身份信息更新
身份管理
目录技术 目录服务
目录服务就是按照树状信息组织模式，实现信息管理和服务接口的一种方法。目录服务系 统一般由两部分组成。第一部分是数据库，一种分布式的数据库，且拥有一个描述数据的 规划；第二部分则是访问和处理数据库有关的详细的访问协议。
Biometrics is the science of measuring and analyzing biological information. 生物技术是度量（measures）和分析生物信息的科学。
为什么使安全 More advantages:remember(what one knows);carriage(what one has);with(what one is)
15
鉴别
验证（validate）用户宣称其身份有效的过程（process）； 验证的类型
消息验证——一个人所知道的（what one knows）; 所有关系验证——一个人所拥有的（what one has）; 生物特征验证——一个人是什么或者做了什么（what one is or does）.
16
鉴别
密码 最常用的验证方式也是最脆弱的方式； 类型：
静态密码 动态密码（dynamic pwd）：周期变更，one-time-password; Pass phrase：比密码更长，通常是个虚拟密码； 认知密码：基于个人事实，兴趣以及个人相关的其他方面；
密码验证存在的问题
提供一个用户身份的集中存储，用户登录通过一次验证，然后可以访问其他系统而不需要
反复验证；
账号管理（account management）
用户账号的创建（creation）、更改（change）、以及撤销（decommission）； 账户管理是访问控制最需要投入财力和时间的且有很大潜在风险的一个环节。
4、Accountability：可追溯性/责任
确定员工对其行为应该承担的责任，记录了用户所做的以及时间。
10
身份识别
唯一身份（unique identity）的宣称；
应用访问控制关键的第一步； 是可追溯性（accountability）的前提； 有关身份的三个最佳安全实践：