AUTHORIZATION

กระบวนการตรวจสอบว่าผู้ใช้ที่ผ่านการยืนยันตัวตนแล้วสามารถเข้าถึงทรัพยากรหรือทำงานใดได้บ้าง

หลักการของ Authorization
    1.    กำหนดสิทธิ์ตามบทบาท (Role-Based Access Control, RBAC)
        o    เช่น พนักงานทั่วไปเข้าดูข้อมูลได้ แต่แก้ไขไม่ได้
        o    ผู้จัดการสามารถแก้ไขและอนุมัติข้อมูลได้
    2.    กำหนดสิทธิ์ตามคุณสมบัติอื่น ๆ (Attribute-Based Access Control, ABAC)
        o    เช่น วันเวลาที่เข้าถึง, ตำแหน่ง, อุปกรณ์ที่ใช้
    3.    ตรวจสอบสิทธิ์ทุกครั้งที่เข้าถึงระบบหรือไฟล์
        o    ถ้าไม่มีสิทธิ์ จะไม่สามารถเข้าถึงหรือทำงานนั้นได้