【 16个概念 】
身份访问
难易分类
简单概念
1 主体
概念解释：发起访问的人、账号、服务、设备或程序。
实例：客服账号查询订单表并查看收货地址。在这次访问中，可以明确指出对应的主体，它是访问关系中一个可识别、可记录的要素。
易混淆：把“主体”和“对象”混为一谈。主体的关键是“发起访问的人、账号、服务、设备或程序”；对象关注的是另一种对象、位置、作用或处理关系。
2 对象
概念解释：被访问的数据、系统、接口、文件、数据库或设备。
实例：客服账号查询订单表并查看收货地址。在这次访问中，可以明确指出对应的对象，它是访问关系中一个可识别、可记录的要素。
易混淆：把“对象”和“主体”混为一谈。对象的关键是“被访问的数据、系统、接口、文件、数据库或设备”；主体关注的是另一种对象、位置、作用或处理关系。
3 操作
概念解释：主体对对象执行的查看、修改、删除、导出或配置等动作。
实例：客服账号查询订单表并查看收货地址。在这次访问中，可以明确指出对应的操作，它是访问关系中一个可识别、可记录的要素。
易混淆：把“操作”和“权限”混为一谈。操作的关键是“主体对对象执行的查看、修改、删除、导出或配置等动作”；权限关注的是另一种对象、位置、作用或处理关系。
4 认证因素
概念解释：知道的内容、持有的物品和自身特征三类验证要素。
实例：2026年7月23日，公司在订单系统中登记并使用一项“认证因素”。工作人员可以指出它的具体对象、所在位置、当前状态和对应记录。
易混淆：把“认证因素”和“认证方式”混为一谈。认证因素的关键是“知道的内容、持有的物品和自身特征三类验证要素”；认证方式关注的是另一种对象、位置、作用或处理关系。
5 权限矩阵
概念解释：记录角色、对象、操作、范围、限制条件和审计要求的表格。
实例：数据安全人员把订单系统的对象、责任、状态和检查结果逐项登记到一份表中，并持续更新。这份可查询的记录就是权限矩阵。
易混淆：把“权限矩阵”和“角色名单”混为一谈。权限矩阵的关键是“记录角色、对象、操作、范围、限制条件和审计要求的表格”；角色名单关注的是另一种对象、位置、作用或处理关系。
难懂概念
6 访问控制
概念解释：对主体访问对象的操作进行识别、认证、授权、决策和审计。
主要对应的问题：谁在什么条件下可以访问什么对象、执行什么操作，权限何时复核、到期和回收？
特殊异常情况：人员已经离岗，隐藏权限和服务凭证仍然有效
2026年8月7日，公司完成岗位调整后回收了员工主账号，旧接口令牌、数据库账号和缓存会话仍可访问12万条订单。这个实例说明：访问控制必须覆盖人员、程序、设备、接口和有效期限，任何遗漏都会留下真实入口。
7 访问条件
概念解释：时间、来源、设备、岗位、审批和认证状态等约束。
主要对应的问题：谁在什么条件下可以访问什么对象、执行什么操作，权限何时复核、到期和回收？
特殊异常情况：人员已经离岗，隐藏权限和服务凭证仍然有效
2026年8月11日，公司完成岗位调整后回收了员工主账号，旧接口令牌、数据库账号和缓存会话仍可访问12万条订单。这个实例说明：访问条件必须覆盖人员、程序、设备、接口和有效期限，任何遗漏都会留下真实入口。
8 访问决策
概念解释：系统作出的允许、拒绝、脱敏、二次认证或告警决定。
主要对应的问题：谁在什么条件下可以访问什么对象、执行什么操作，权限何时复核、到期和回收？
特殊异常情况：人员已经离岗，隐藏权限和服务凭证仍然有效
2026年8月12日，公司完成岗位调整后回收了员工主账号，旧接口令牌、数据库账号和缓存会话仍可访问12万条订单。这个实例说明：访问决策必须覆盖人员、程序、设备、接口和有效期限，任何遗漏都会留下真实入口。
9 身份识别
概念解释：用户声明自己是谁。
主要对应的问题：在订单系统的实际工作中，怎样确认“身份识别”已经做到“用户声明自己是谁”，并能用配置、日志、文件或测试结果证明？
特殊异常情况：新增第三方接口后，身份识别遗漏3个关键环节
2026年10月13日，一家企业在订单系统中执行身份识别。常规抽查的20条记录均显示正常；当天新增第三方接口并处理4441条数据后，出现对象遗漏、责任不明或记录无法对应的情况。工作人员依据“用户声明自己是谁”重新核查，才找到未被原流程覆盖的环节。这个实例说明：身份识别需要在真实业务变化和边界条件下接受验证。
10 身份认证
概念解释：验证用户、设备或系统身份真实性。
主要对应的问题：谁在什么条件下可以访问什么对象、执行什么操作，权限何时复核、到期和回收？
特殊异常情况：人员已经离岗，隐藏权限和服务凭证仍然有效
2026年10月14日，一家企业在订单系统中执行身份认证。常规抽查的20条记录均显示正常；当天新增第三方接口并处理4478条数据后，出现对象遗漏、责任不明或记录无法对应的情况。工作人员依据“验证用户、设备或系统身份真实性”重新核查，才找到未被原流程覆盖的环节。这个实例说明：身份认证需要在真实业务变化和边界条件下接受验证。
11 授权
概念解释：决定主体可以执行哪些操作。
主要对应的问题：谁在什么条件下可以访问什么对象、执行什么操作，权限何时复核、到期和回收？
特殊异常情况：人员已经离岗，隐藏权限和服务凭证仍然有效
2026年10月15日，一家企业在订单系统中执行授权。常规抽查的20条记录均显示正常；当天新增第三方接口并处理4515条数据后，出现对象遗漏、责任不明或记录无法对应的情况。工作人员依据“决定主体可以执行哪些操作”重新核查，才找到未被原流程覆盖的环节。这个实例说明：授权需要在真实业务变化和边界条件下接受验证。
12 审计
概念解释：记录并检查访问身份、时间、对象、来源、操作和结果。
主要对应的问题：谁在何时从何处对什么对象做了什么，记录是否完整可信，能否据此还原全过程？
特殊异常情况：日志数量很多，关键时段记录中断且时间彼此冲突
平台保存了860万条日志，数据异常发生的20分钟内数据库审计被关闭，3台服务器时间分别相差4分钟、8分钟和11分钟。这个实例说明：审计依赖连续记录、统一时间、完整字段和防篡改保护。
13 单点登录
概念解释：统一身份一次登录后访问多个受控系统的机制。
主要对应的问题：在订单系统的实际工作中，怎样确认“单点登录”已经做到“统一身份一次登录后访问多个受控系统的机制”，并能用配置、日志、文件或测试结果证明？
特殊异常情况：新增第三方接口后，单点登录遗漏7个关键环节
2026年10月17日，一家企业在订单系统中执行单点登录。常规抽查的20条记录均显示正常；当天新增第三方接口并处理4589条数据后，出现对象遗漏、责任不明或记录无法对应的情况。工作人员依据“统一身份一次登录后访问多个受控系统的机制”重新核查，才找到未被原流程覆盖的环节。这个实例说明：单点登录需要在真实业务变化和边界条件下接受验证。
14 多因素认证
概念解释：组合两类或以上不同认证因素进行身份验证。
主要对应的问题：谁在什么条件下可以访问什么对象、执行什么操作，权限何时复核、到期和回收？
特殊异常情况：人员已经离岗，隐藏权限和服务凭证仍然有效
2026年10月18日，一家企业在订单系统中执行多因素认证。常规抽查的20条记录均显示正常；当天新增第三方接口并处理4626条数据后，出现对象遗漏、责任不明或记录无法对应的情况。工作人员依据“组合两类或以上不同认证因素进行身份验证”重新核查，才找到未被原流程覆盖的环节。这个实例说明：多因素认证需要在真实业务变化和边界条件下接受验证。
15 RBAC
概念解释：基于角色的访问控制，通过用户—角色—权限关系分配权限。
主要对应的问题：在订单系统的实际工作中，怎样确认“RBAC”已经做到“基于角色的访问控制，通过用户—角色—权限关系分配权限”，并能用配置、日志、文件或测试结果证明？
特殊异常情况：新增第三方接口后，RBAC遗漏3个关键环节
2026年10月20日，一家企业在订单系统中执行RBAC。常规抽查的20条记录均显示正常；当天新增第三方接口并处理4700条数据后，出现对象遗漏、责任不明或记录无法对应的情况。工作人员依据“基于角色的访问控制，通过用户—角色—权限关系分配权限”重新核查，才找到未被原流程覆盖的环节。这个实例说明：RBAC需要在真实业务变化和边界条件下接受验证。
16 ABAC
概念解释：基于属性的访问控制，根据人员、数据、环境和业务属性作出决策。
主要对应的问题：在订单系统的实际工作中，怎样确认“ABAC”已经做到“基于属性的访问控制，根据人员、数据、环境和业务属性作出决策”，并能用配置、日志、文件或测试结果证明？
特殊异常情况：新增第三方接口后，ABAC遗漏4个关键环节
2026年10月21日，一家企业在订单系统中执行ABAC。常规抽查的20条记录均显示正常；当天新增第三方接口并处理4737条数据后，出现对象遗漏、责任不明或记录无法对应的情况。工作人员依据“基于属性的访问控制，根据人员、数据、环境和业务属性作出决策”重新核查，才找到未被原流程覆盖的环节。这个实例说明：ABAC需要在真实业务变化和边界条件下接受验证。