自主訪問控制

在計算機安全中，自主訪問控制由《可信計算機系統評估準則》所定義的訪問控制中的一種類型。它是根據主體（如用户、進程或 I/O 設備等）的身份和他所屬的組限制對客體的訪問。所謂的自主，是因為擁有訪問權限的主體，可以直接（或間接）地將訪問權限賦予其他主體（除非受到強制訪問控制的限制）。

自主訪問控制是指對某個客體具有擁有權（或控制權）的主體能夠將對該客體的一種訪問權或多種訪問權自主地授予其它主體，並在隨後的任何時刻將這些權限回收。這種控制是自主的，也就是指具有授予某種訪問權力的主體（用户）能夠自己決定是否將訪問控制權限的某個子集授予其他的主體或從其他主體那裏收回他所授予的訪問權限。自主訪問控制中，用户可以針對被保護對象制定自己的保護策略。

自主訪問控制（DAC）常常與強制訪問控制（MAC, Mandatory Access Control, 又叫非自主訪問控制）對比。DAC的數據存取權限由用户控制，系統無法控制；MAC安全等級由系統控制，用户不能直接進行控制。有時候，一個系統稱其整體有“自主的”或者“純自主的”訪問控制的時候，意味着這個系統沒有強制訪問控制。而有的時候，系統也可以同時實現自主訪問控制和強制訪問控制，其中自主訪問控制是指一類可以在主體之間相互轉讓權限的訪問控制，而強制訪問控制則指的是另一類強制限制權限的訪問控制。

實際上這個術語的意思並不像《可信計算機系統評估準則》中給出的定義一樣清晰，這是因為評估準則中並沒有強調實現的概念。因此，至少有兩種實現方法，分別是：基於屬主（多數情況採用此方法）和基於能力。

自主訪問控制通常假定所有客體都有屬主，並且屬主能夠修改訪問該客體的權限，這可能因為大部分系統的確通過屬主的概念來實現的。但是評估準則中並沒有關於屬主的説明，所以技術上訪問控制系統並非必須擁有屬主。

基於這種實現下，用户（屬主）能夠修改安全屬性。一個直接的例子是 Unix 的文件模式。

能力系統有時被認為能夠提供自主的控制，因為它允許主體將權限轉讓給其他主體，即使基於用户能力的安全系統根本沒有基於主體身份限制訪問。（一般來説，能力安全系統並不允許權限被傳遞給“任何其他主體”；主體想要轉讓它的權限必須訪問接受權限的主體，但在系統裏主體一般是沒有訪問能力訪問其他所有主體的）。 ^[1]