访问控制（Access Control） 是按照预先建立的策略，允许或拒绝主体访问资源的过程。NIST 访问控制术语将其描述为针对信息、服务或其他系统资源的具体访问请求作出允许或拒绝的处理。
访问控制把身份信息、授权规则和资源保护机制连接起来。它不只判断用户能否进入系统，还应针对具体资源、操作和上下文执行限制。
策略、决策与执行
访问控制通常包含三个部分：
- 访问策略：描述哪些主体在什么条件下可以对哪些资源执行什么操作；
- 访问决策：根据主体、资源、操作和上下文评估策略；
- 策略执行：在资源真正被读取或修改之前执行允许或拒绝的结果。
NIST 对访问控制机制的说明强调，访问控制机制需要接收访问请求、作出决定并执行该决定。客户端界面中的可见性控制不能代替服务端的权限检查。
常见模型
访问控制可以采用不同模型：
- 自主访问控制（DAC）：资源所有者可以决定将权限授予哪些主体；
- 强制访问控制（MAC）：系统依据安全标签和集中规则控制访问；
- 基于角色的访问控制（RBAC）：权限授予角色，主体通过角色获得权限；
- 基于属性的访问控制（ABAC）：根据主体、资源、操作和环境属性评估策略。
实际系统可以组合多种模型。选择模型时需要考虑权限规模、策略复杂度、审计要求和组织管理方式。
与认证和授权的关系
身份认证为系统提供对主体身份的信心，授权决定主体是否拥有某项权限，访问控制则把这些决定落实到资源访问过程中。即使认证已经成功，每次敏感操作仍应根据当前权限和资源状态进行访问控制。