Authorization je proces přidělování a ověřování přístupových práv. Zatímco autentizace zjišťuje, kdo uživatel je, autorizace určuje, co tento uživatel smí v rámci systému dělat (např. číst soubory, mazat data nebo měnit nastavení).

V IT se používá několik standardizovaných přístupů k tomu, jak definovat a spravovat oprávnění:

Oprávnění nejsou přidělována přímo jednotlivcům, ale rolím (např. Administrátor, Redaktor, Host). Uživatelé jsou následně přiřazeni k jedné nebo více rolím.

• Výhoda: Snadná správa ve velkých organizacích. Pokud zaměstnanec změní pozici, pouze se mu změní role.

Pokročilejší model, který rozhoduje na základě atributů. Ty mohou zahrnovat:

• Atributy uživatele: (Např. oddělení, věk, prověření).
• Atributy zdroje: (Např. typ souboru, citlivost dat).
• Environmentální atributy: (Např. čas přístupu, IP adresa, lokalita).
• Příklad: „Umožni přístup k finančním výkazům pouze manažerům z účtárny, pokud se připojují z vnitřní sítě v pracovní době.“

Vlastník zdroje (např. souboru) má plnou moc nad tím, komu přidělí práva. Je to standardní model používaný v operačních systémech jako Windows nebo Linux pro běžné soubory.

Pevně daná pravidla vynucená systémem, která uživatel nemůže změnit. Často se používá ve vojenských nebo vysoce zabezpečených systémech (např. SELinux). Každý objekt má úroveň utajení a každý uživatel úroveň prověření.

Seznam připojený k objektu (souboru, složce, síťovému rozhraní), který specifikuje, kteří uživatelé nebo procesy mají k objektu přístup a jaké operace s ním mohou provádět (Read, Write, Execute).

V moderních webových aplikacích se pro autorizaci používá protokol OAuth 2.0. Místo sdílení hesla získá aplikace tzv. Access Token s omezeným rozsahem oprávnění (tzv. Scopes).

• Příklad: Aplikace pro plánování příspěvků na sociální sítě dostane oprávnění pouze k „zápisu příspěvků“, ale nikoliv k „čtení soukromých zpráv“.

• Principle of Least Privilege (Princíp nejnižších privilegií): Uživatel by měl mít k dispozici pouze ta oprávnění, která nezbytně potřebuje pro svou práci. Nic víc.
• Separation of Duties (Oddělení rolí): Kritické operace by měly vyžadovat autorizaci od dvou různých lidí (např. jeden platbu vytvoří, druhý ji schválí).
• Implicit Deny (Implicitní zákaz): Pokud není přístup výslovně povolen, je považován za zakázaný.

Související pojmy: Authentication, RBAC, ABAC, ACL, OAuth 2.0, Principle of Least Privilege.