¿Qué es la autorización?
La autorización es el proceso que determina qué recursos y acciones puede utilizar una identidad dentro de un sistema. Se aplica después o durante la verificación de identidad y permite establecer permisos para acceder a información, funciones, servicios o recursos concretos.
¿Qué es la autorización?
La autorización es el proceso mediante el cual un sistema determina qué puede hacer una identidad autenticada y a qué recursos puede acceder.
Puede establecer permisos para leer, crear, modificar o eliminar información. La autenticación verifica quién eres, mientras que la autorización determina qué acciones tienes permitidas.
¿Cómo funciona la autorización?
Un sistema de autorización utiliza una identidad autenticada, sus permisos y las reglas del recurso solicitado para decidir si una operación está permitida.
Identifica al usuario o servicio
El sistema necesita conocer qué identidad realiza la solicitud, normalmente a partir de un proceso de autenticación previo.
Consulta los permisos
Después comprueba qué recursos y acciones están permitidos para esa identidad, usuario, grupo, rol o servicio.
Permite o rechaza la operación
Según las reglas configuradas, el sistema puede conceder el acceso solicitado o rechazarlo por falta de permisos suficientes.
Autorización no es lo mismo que autenticación
Ambos conceptos forman parte del control de acceso, pero cada uno responde una pregunta diferente.
¿Quién eres?
Comprueba la identidad de la persona, dispositivo o servicio que intenta acceder.
¿Qué puedes hacer?
Determina qué recursos, funciones y operaciones están permitidos para una identidad.
Controlan el acceso
Los permisos permiten expresar qué puede leer, crear, modificar o eliminar una identidad dentro de un sistema.
Principales modelos de autorización
| Modelo | Cómo asigna permisos | Ejemplo | Característica |
|---|---|---|---|
| RBAC | Según roles. | Administrador o editor. | Los permisos se asocian a roles. |
| ABAC | Según atributos y condiciones. | Usuario + ubicación + recurso. | Puede evaluar múltiples atributos. |
| ACL | Según listas de control. | Usuario con permiso de lectura. | Define permisos asociados a recursos. |
| Basada en reglas | Según políticas configuradas. | Permitir una operación bajo cierta condición. | Evalúa reglas establecidas por el sistema. |
¿Qué son los permisos de usuario?
Los permisos indican qué operaciones puede realizar una identidad sobre un recurso determinado.
Lectura
Un permiso de lectura permite consultar información sin necesariamente modificarla.
Escritura
Un permiso de escritura puede permitir crear o modificar datos dentro de un recurso.
Eliminación
Algunos sistemas separan el permiso de eliminar recursos o información del resto de operaciones para aplicar un control más específico.
¿Qué es la autorización basada en roles?
La autorización basada en roles, conocida como RBAC, asigna permisos a roles y posteriormente asigna esos roles a usuarios o identidades.
Administrador
Un rol administrativo puede concentrar permisos para gestionar usuarios, configuraciones o determinados recursos del sistema.
Editor
Un rol de editor puede disponer de permisos para crear o modificar contenido sin recibir necesariamente todos los permisos administrativos.
Usuario
Un rol de usuario puede limitarse a consultar determinados recursos o utilizar funciones específicas del sistema.
¿Cuál es la diferencia entre RBAC y ABAC?
RBAC y ABAC son dos modelos utilizados para expresar reglas de autorización, pero utilizan criterios diferentes para determinar los permisos.
RBAC
RBAC utiliza roles para agrupar permisos. Por ejemplo, un usuario puede recibir el rol de editor y obtener automáticamente los permisos asociados a ese rol.
ABAC
ABAC utiliza atributos y condiciones para tomar decisiones, pudiendo considerar información del usuario, recurso, acción o contexto.
Diferencia principal
RBAC centra la decisión en roles, mientras que ABAC permite construir reglas que consideran distintos atributos y condiciones.
¿Qué es una ACL?
Una ACL o Access Control List es una lista de control de acceso que define qué identidades o grupos pueden realizar determinadas operaciones sobre un recurso.
Usuario y recurso
Una ACL puede asociar permisos específicos con determinados usuarios o grupos respecto a un archivo, servicio, recurso o sistema.
Permisos concretos
Dependiendo del sistema, una ACL puede distinguir operaciones como lectura, escritura o ejecución.
Uso en sistemas
Las listas de control pueden utilizarse en sistemas operativos, redes, servidores, aplicaciones y otros entornos que necesiten definir acceso a recursos.
¿Cómo funciona la autorización en una página web?
Después de identificar y autenticar a un usuario, una aplicación web puede comprobar si esa identidad tiene permiso para acceder a una página, recurso o función.
Usuario autenticado
La aplicación determina qué usuario o identidad está realizando la solicitud mediante la sesión, token u otro mecanismo de autenticación.
Verificación de permisos
El servidor comprueba si ese usuario tiene el permiso necesario para realizar la acción solicitada.
Resultado
Si la política lo permite, la aplicación ejecuta la operación. De lo contrario, puede rechazarla y devolver una respuesta de acceso denegado.
¿Cómo funciona la autorización en una API?
Una API puede utilizar políticas de autorización para determinar qué operaciones puede realizar un cliente o usuario autenticado.
Endpoint
Cada endpoint puede representar un recurso o acción diferente y aplicar sus propias reglas de acceso.
Permisos
El servidor puede comprobar roles, scopes, atributos u otras condiciones antes de permitir la operación solicitada.
Respuesta de acceso
Si la identidad no tiene los permisos necesarios, la API puede rechazar la solicitud en lugar de ejecutar la operación protegida.
¿Qué es el principio de mínimo privilegio?
El principio de mínimo privilegio consiste en proporcionar a una identidad solamente los permisos necesarios para realizar las funciones que necesita.
Menos permisos
Un usuario o servicio que no necesita modificar un recurso no debería recibir automáticamente permisos de escritura sobre ese recurso.
Menor superficie de exposición
Reducir los permisos innecesarios puede limitar las operaciones disponibles cuando una cuenta o servicio resulta comprometido.
Aplicación progresiva
Los permisos deben revisarse según las necesidades reales de usuarios, aplicaciones, servicios y procesos.
¿Por qué la autorización es importante en ciberseguridad?
La autorización permite limitar qué puede hacer una identidad después de haber sido autenticada, evitando que todos los usuarios dispongan automáticamente del mismo nivel de acceso.
Protección de información
Los permisos pueden restringir quién puede consultar o modificar determinados datos y recursos.
Separación de funciones
Diferentes roles pueden recibir diferentes capacidades para evitar que una sola identidad concentre todos los privilegios del sistema.
Control de acciones
Las políticas de autorización permiten limitar operaciones concretas sobre recursos, cuentas, configuraciones y servicios.
¿Qué ocurre cuando una autorización falla?
Cuando una identidad autenticada no cumple las condiciones de una política de acceso, el sistema puede rechazar la operación solicitada.
Recurso protegido
El sistema puede impedir el acceso a una página, archivo, función, endpoint, base de datos u otro recurso protegido.
Operación no permitida
Un usuario puede tener acceso a un sistema pero no tener permiso para realizar determinadas acciones dentro de él.
Los permisos pueden cambiar
La autorización puede depender del rol, los atributos, el recurso, el contexto o las políticas definidas por el sistema.
¿Cómo se configuran los permisos de autorización?
La configuración depende del sistema y del modelo de control de acceso utilizado.
Usuarios y grupos
Los sistemas pueden asignar permisos directamente a usuarios o, de forma más organizada, mediante grupos y roles.
Roles y políticas
Los administradores pueden definir roles o políticas que agrupen y controlen diferentes permisos según las funciones de cada identidad.
Revisión periódica
Los permisos deben revisarse cuando cambian las funciones, usuarios, recursos o requisitos de seguridad del sistema.
Autorización: conceptos principales
| Concepto | Significado | Ejemplo | Función |
|---|---|---|---|
| Autenticación | Verifica una identidad. | Contraseña o MFA. | Determinar quién realiza el acceso. |
| Autorización | Determina permisos. | Permiso de lectura o escritura. | Controlar recursos y acciones. |
| RBAC | Control basado en roles. | Administrador o editor. | Asociar permisos a roles. |
| ABAC | Control basado en atributos. | Usuario + recurso + condición. | Evaluar diferentes atributos. |
| ACL | Lista de control de acceso. | Usuario con permiso de lectura. | Definir acceso sobre recursos. |
Guías relacionadas sobre autenticación y ciberseguridad
Elige el tema que quieras profundizar:
Preguntas frecuentes sobre autorización
La autorización es el proceso mediante el cual un sistema determina qué recursos y acciones puede utilizar una identidad dentro de ese sistema.
Sirve para controlar qué información, recursos y operaciones están permitidos para cada usuario, grupo, rol o servicio.
La autenticación verifica quién es la identidad que intenta acceder, mientras que la autorización determina qué recursos y acciones puede utilizar esa identidad.
Son reglas que indican qué operaciones puede realizar una identidad sobre determinados recursos, como leer, crear, modificar o eliminar información.
RBAC es un modelo de autorización basado en roles, donde los permisos se asocian a roles que posteriormente pueden asignarse a usuarios o identidades.
Una ACL o Access Control List es una lista que define qué usuarios o grupos pueden realizar determinadas operaciones sobre un recurso.
Significa proporcionar a una identidad solamente los permisos necesarios para realizar sus funciones, evitando privilegios innecesarios.
No. Una identidad puede autenticarse correctamente y aun así tener acceso limitado a recursos o acciones según las políticas de autorización configuradas.
¿Qué es MFA?
Continúa aprendiendo sobre seguridad de acceso y descubre cómo MFA añade múltiples factores para verificar la identidad antes de conceder acceso.
Ver guía →