1. 什麼事訪問控制訪問控制包括哪幾個要素
訪問控制是幾乎所有系統（包括計算機系統和非計算機系統）都需要用到的一種技術。訪問控制是按用戶身份及其所歸屬的某項定義組來限制用戶對某些信息項的訪問，或限制對某些控制功能的使用的一種技術。
訪問控制包括伺服器、目錄、文件等。訪問控制是給出一套方法，將系統中的所有功能標識出來，組織起來，託管起來，將所有的數據組織起來標識出來託管起來， 然後提供一個簡單的唯一的介面，這個介面的一端是應用系統一端是許可權引擎。
(1)自主訪問控制的主體是擴展閱讀
實現機制：訪問控制的實現機制建立訪問控制模型和實現訪問控制都是抽象和復雜的行為，實現訪問的控制不僅要保證授權用戶使用的許可權與其所擁有的許可權對應，制止非授權用戶的非授權行為；還要保證敏感信息的交叉感染。
為了便於討論這一問題，我們以文件的訪問控制為例對訪問控制的實現做具體說明。通常用戶訪問信息資源（文件或是資料庫），可能的行為有讀、寫和管理。為方便起見，我們用Read或是R表示讀操作，Write或是W表示寫操作，Own或是O表示管理操作。
2. 自主訪問控制的概述
自主訪問控制是保護系統資源不被非法訪問的一種有效手段。但是這種控制是自主的，即它是以保護用戶的個人資源的安全為目標並以個人的意志為轉移的。
自主訪問控制是一種比較寬松的訪問控制,一個主題的訪問許可權具有傳遞性。
計算機信息系統可信計算基定義和控制系統中命名用戶對命名客體的訪問。
實施機制（例如：訪問控製表）允許命名用戶以用戶和（或）用戶組的身份規定並控制客體的共享；阻止非授權用戶讀取敏感信息。並控制訪問許可權擴散。
自主訪問控制機制根據用戶指定方式或默認方式，阻止非授權用戶訪問客體。訪問控制的粒度是單個用戶。沒有存取權的用戶只允許由授權用戶指定對客體的訪問權。阻止非授權用戶讀取敏感信息。
3. 自主訪問控制和強制訪問控制的區別
強制訪問控制
通過無法迴避的訪問限制來阻止直接或間接地非法入侵。
自主訪問控制
管理的方式不同就形成不同的訪問控制方式。一種方式是由客體的屬主對自己的客體進行管理，由屬主自己決定是否將自己客體的訪問權或部分訪問權授予其他主體，這種控制方式是自主的，我們把它稱為自主訪問控制（Discretionary Access Control——DAC）。在自主訪問控制下，一個用戶可以自主選擇哪些用戶可以共享他的文件。Linux系統中有兩種自主訪問控制策略，一種是9位許可權碼（User-Group-Other），另一種是訪問控制列表ACL（Access Control List）。
強制訪問控制
強制訪問控制（Mandatory Access Control——MAC），用於將系統中的信息分密級和類進行管理，以保證每個用戶只能訪問到那些被標明可以由他訪問的信息的一種訪問約束機制。通俗的來說，在強制訪問控制下，用戶（或其他主體）與文件（或其他客體）都被標記了固定的安全屬性（如安全級、訪問許可權等），在每次訪問發生時，系統檢測安全屬性以便確定一個用戶是否有權訪問該文件。其中多級安全（MultiLevel Secure, MLS）就是一種強制訪問控制策略。
4. 安卓系統的自主訪問控制和強制訪問控制是怎麼操作的
自主訪問控制
自主訪問的含義是有訪問許可的主體能夠直接或間接地向其他主體轉讓訪問權。自主訪問控制是在確認主體身份以及（或）它們所屬的組的基礎上，控制主體的活動，實施用戶許可權管理、訪問屬性（讀、寫、執行）管理等，是一種最為普遍的訪問控制手段。自主訪問控制的主體可以按自己的意願決定哪些用戶可以訪問他們的資源，亦即主體有自主的決定權，一個主體可以有選擇地與其它主體共享他的資源。
基於訪問控制矩陣的訪問控製表（ACL）是DAC中通常採用一種的安全機制。ACL是帶有訪問許可權的矩陣，這些訪問權是授予主體訪問某一客體的。安全管理員通過維護ACL控制用戶訪問企業數據。對每一個受保護的資源，ACL對應一個個人用戶列表或由個人用戶構成的組列表，表中規定了相應的訪問模式。當用戶數量多、管理數據量大時，由於訪問控制的粒度是單個用
戶，ACL會很龐大。當組織內的人員發生能變化（升遷、換崗、招聘、離職）、工作職能發生變化（新增業務）時，ACL的修改變得異常困難。採用ACL機制管理授權處於一個較低級的層次，管理復雜、代價高以至易於出錯。
DAC的主要特徵體現在主體可以自主地把自己所擁有客體的訪問許可權授予其它主體或者從其它主體收回所授予的許可權，訪問通常基於訪問控製表（ACL）。訪問控制的粒度是單個用戶。沒有存取權的用戶只允許由授權用戶指定對客體的訪問權。DAC的缺點是信息在移動過程中其訪問許可權關系會被改變。如用戶A可將其對目標O的訪問許可權傳遞給用戶B，從而使不具備對O訪問許可權的B可訪問O。
強制訪問控制
為了實現完備的自主訪問控制系統，由訪問控制矩陣提供的信息必須以某種形式存放在系統中。訪問矩陣中的每行表示一個主體，每一列則表示一個受保護的客體，而矩陣中的元素，則表示主體可以對客體的訪問模式。目前，在系統中訪問控制矩陣本身，都不是完整地存儲起來，因為矩陣中的許多元素常常為空。空元素將會造成存儲空間的浪費，而且查找某個元素會耗費很多時間。實際上常常是基於矩陣的行或列來表達訪問控制信息。
強制訪問控制是「強加」給訪問主體的，即系統強制主體服從訪問控制政策。強制訪問控制（MAC）的主要特徵是對所有主體及其所控制的客體（例如：進程、文件、段、設備）實施強制訪問控制。
為這些主體及客體指定敏感標記，這些標記是等級分類和非等級類別的組合，它們是實施強制訪問控制的依據。系統通過比較主體和客體的敏感標記來決定一個主體是否能夠訪問某個客體。用戶的程序不能改變他自己及任何其它客體的敏感標記，從而系統可以防止特洛伊木馬的攻擊。
Top Secret），秘密級（Secret），機密級（Confidential）及無級別級（Unclassified）。其級別為T>S>C>U，系統根據主體和客體的敏感標記來決定訪問模式。訪問模式包括：
read down）：用戶級別大於文件級別的讀操作；
Write up）：用戶級別小於文件級別的寫操作；
Write down）：用戶級別等於文件級別的寫操作；
read up）：用戶級別小於文件級別的讀操作；
自主訪問控制不能抵禦「特洛伊木馬」攻擊，而強制訪問控制能夠有效的防禦「特洛伊木馬」攻擊。MAC最主要的優勢是它阻止特洛伊木馬的能力 一個特洛伊木馬是在一個執行某些合法功能的程序中隱藏的代碼，它利用運行此程序的主體的許可權違反安全策略 通過偽裝成有用的程序在進程中泄露信息 一個特洛伊木馬能夠以兩種方式泄露信息： 直接與非直接泄露 前者， 特洛伊木馬以這樣一種方式工作， 使信息的安全標示不正確並泄露給非授權用戶； 後者特洛伊木馬通過以下方式非直接地泄露信息： 在返回給一個主體的合法信息中編制 例如： 可能表面上某些提問需要回答， 而實際上用戶回答的內容被傳送給特洛伊木馬。
5. windows操作系統的訪問控制策略基於何種策略
自主訪問控制。
自主訪問控制指對某個客體具有擁有權（或控制權）的主體能夠將對該客體的一種訪問權或多種訪問權自主地授予其它主體，並在隨後的任何時刻將這些許可權回收。
這種控制是自主的，也就是指具有授予某種訪問權力的主體（用戶）能夠自己決定是否將訪問控制許可權的某個子集授予其他的主體或從其他主體那裡收回他所授予的訪問許可權。自主訪問控制中，用戶可以針對被保護對象制定自己的保護策略。
(5)自主訪問控制的主體是擴展閱讀
訪問控制的實現機制建立訪問控制模型和實現訪問控制都是抽象和復雜的行為，實現訪問的控制不僅要保證授權用戶使用的許可權與其所擁有的許可權對應，制止非授權用戶的非授權行為；還要保證敏感信息的交叉感染。
以文件的訪問控制為例對訪問控制的實現做具體說明。通常用戶訪問信息資源（文件或是資料庫），可能的行為有讀、寫和管理。用Read或是R表示讀操作，Write或是W表示寫操作，Own或是O表示管理操作。
之所以將管理操作從讀寫中分離出來，是因為管理員也許會對控制規則本身或是文件的屬性等做修改，也就是修改我們在下面提到的訪問控製表。
6. 自主訪問控制與強制訪問控制的原理是什麼有什麼區別
自主訪問控制（DAC）是一個接入控制服務，它執行基於系統實體身份和它們的到系統資源的接入授權。這包括在文件，文件夾和共享資源中設置許可。
強制訪問控制是「強加」給訪問主體的，即系統強制主體服從訪問控制政策。強制訪問控制（MAC）的主要特徵是對所有主體及其所控制的客體（例如：進程、文件、段、設備）實施強制訪問控制。為這些主體及客體指定敏感標記，這些標記是等級分類和非等級類別的組合，它們是實施強制訪問控制的依據。系統通過比較主體和客體的敏感標記來決定一個主體是否能夠訪問某個客體。用戶的程序不能改變他自己及任何其它客體的敏感標記，從而系統可以防止特洛伊木馬的攻擊。
強制訪問控制一般與自主訪問控制結合使用，並且實施一些附加的、更強的訪問限制。一個主體只有通過了自主與強制性訪問限制檢查後，才能訪問某個客體。用戶可以利用自主訪問控制來防範其它用戶對自己客體的攻擊，由於用戶不能直接改變強制訪問控制屬性，所以強制訪問控制提供了一個不可逾越的、更強的安全保護層以防止其它用戶偶然或故意地濫用自主訪問控制。
強制訪問策略將每個用戶及文件賦於一個訪問級別，如，最高秘密級（Top Secret），秘密級（Secret），機密級（Confidential）及無級別級（Unclassified）。其級別為T>S>C>U，系統根據主體和客體的敏感標記來決定訪問模式。訪問模式包括：
下讀（read down）：用戶級別大於文件級別的讀操作；
上寫（Write up）：用戶級別小於文件級別的寫操作；
下寫（Write down）：用戶級別等於文件級別的寫操作；
上讀（read up）：用戶級別小於文件級別的讀操作；
7. 自主訪問控制與強制訪問控制的區別
一、類型不同
1、自主訪問控制：由《可信計算機系統評估准則》所定義的訪問控制中的一種類型。
2、強制訪問控制：在計算機安全領域指一種由操作系統約束的訪問控制。
二、目的不同
1、自主訪問控制：根據主體（如用戶、進程或 I/O 設備等）的身份和他所屬的組限制對客體的訪問。
2、強制訪問控制：目標是限制主體或發起者訪問或對對象或目標執行某種操作的能力。
三、特點不同
1、自主訪問控制：由客體的屬主對自己的客體進行管理，由屬主自己決定是否將自己的客體訪問權或部分訪問權授予其他主體，這種控制方式是自主的。
2、強制訪問控制：每當主體嘗試訪問對象時，都會由操作系統內核強制施行授權規則——檢查安全屬性並決定是否可進行訪問。任何主體對任何對象的任何操作都將根據一組授權規則（也稱策略）進行測試，決定操作是否允許。
8. 訪問控制的基本原理和常見模型
訪問控制的功能及原理：
訪問控制的主要功能包括：保證合法用戶訪問受權保護的網路資源，防止非法的主體進入受保護的網路資源，或防止合法用戶對受保護的網路資源進行非授權的訪問。訪問控制首先需要對用戶身份的合法性進行驗證，同時利用控制策略進行選用和管理工作。當用戶身份和訪問許可權驗證之後，還需要對越權操作進行監控。因此，訪問控制的內容包括認證、控制策略實現和安全審計。
1、認證。包括主體對客體的識別及客體對主體的檢驗確認；
2、控制策略。通過合理地設定控制規則集合，確保用戶對信息資源在授權范圍內的合法使用。既要確保授權用戶的合理使用，又要防止非法用戶侵權進入系統，使重要信息資源泄露。同時對合法用戶，也不能越權行使許可權以外的功能及訪問范圍；
3、安全審計。系統可以自動根據用戶的訪問許可權，對計算機網路環境下的有關活動或行為進行系統的、獨立的檢查驗證，並做出相應評價與審計。
訪問控制的模型：
主要的訪問控制類型有3種模型：自主訪問控制（DAC）、強制訪問控制（MAC）和基於角色訪問控制（RBAC）。
1、自主訪問控制
自主訪問控制（Discretionary Access Control，DAC）是一種接入控制服務，通過執行基於系統實體身份及其到系統資源的接入授權。包括在文件，文件夾和共享資源中設置許可。用戶有權對自身所創建的文件、數據表等訪問對象進行訪問，並可將其訪問權授予其他用戶或收回其訪問許可權。允許訪問對象的屬主制定針對該對象訪問的控制策略，通常，可通過訪問控制列表來限定針對客體可執行的操作。
2、強制訪問控制
強制訪問控制（MAC）是系統強制主體服從訪問控制策略。是由系統對用戶所創建的對象，按照規定的規則控制用戶許可權及操作對象的訪問。主要特徵是對所有主體及其所控制的進程、文件、段、設備等客體實施強制訪問控制。
3、基於角色的訪問控制
角色（Role）是一定數量的許可權的集合。指完成一項任務必須訪問的資源及相應操作許可權的集合。角色作為一個用戶與許可權的代理層，表示為許可權和用戶的關系，所有的授權應該給予角色而不是直接給用戶或用戶組。
9. 訪問控制技術的主要類型有哪三種
訪問控制技術主要有3種類型：自主訪問控制、強制訪問控制和基於角色訪問控制。自主訪問控制：用戶通過授權或者回收給其他用戶訪問特定資源的許可權，主要是針對其訪問權進行控制。
強制訪問控制：由系統己經部署的訪問控制策略，按照系統的規定用戶需要服從系統訪問控制策略，比如系統管理員制定訪問策略，其他用戶只能按照規定進行進程、文件和設備等訪問控制。
(9)自主訪問控制的主體是擴展閱讀
訪問控制的主要功能包括：保證合法用戶訪問受權保護的網路資源，防止非法的主體進入受保護的網路資源，或防止合法用戶對受保護的網路資源進行非授權的訪問。
訪問控制首先需要對用戶身份的合法性進行驗證，同時利用控制策略進行選用和管理工作。當用戶身份和訪問許可權驗證之後，還需要對越權操作進行監控。因此，訪問控制的內容包括認證、控制策略實現和安全審計。