AAA框架与授权模型 | 网络安全笔记

什么是AAA？

AAA 是认证（Authentication）、授权（Authorization）和记账（Accounting）的统称，构成访问控制的完整闭环。

💡 我们熟悉的过程：输入用户名→密码→多因素→通过后获得系统资源访问权——这就是AAA的日常体现。

实战案例：VPN 登录

以登录 VPN 服务器（防火墙或 VPN 集中器）访问内部文件服务器为例：

大多数组织将用户信息集中存储在 AAA 服务器上，而非分散在每台设备上。

设备认证：证书与CA

如何确认一台远程计算机是授权设备？不能靠输入密码，常用方法是使用数字证书。

CA 证书设备证书数字签名

无论设备在局域网还是全球任何位置，证书绑定都能证明它属于公司资产。这一机制常用于 VPN 集中器或管理软件的设备验证。

授权模型：从手动到可扩展

认证通过后，需要授权设备或用户访问资源。若没有模型，每增加一个用户都需要手动设置对每个资源的权限——难以规模化。

例子： 运单部员工需要权限：创建运单、追踪货物、查看月报、访问客户数据。如果只有一个人还算简单，但有10、100个人时手动设置几乎不可能。

解决方案：抽象层（分组/角色）

✅ 按角色授权 ✅ 按属性授权 ✅ 按组织授权

这种抽象模型分离了用户与资源，极大地简化了大规模基础设施的访问管理。

关键要点

🔐 AAA = 认证+授权+记账 📡 VPN 示例：集中式 AAA 服务器 📜 设备认证用证书 & CA 👥 用角色/组实现可扩展授权

一句话总结： 安全专业人员需管理成百上千系统，通过 AAA 框架（集中认证、证书验证）和分组授权模型，才能高效支撑大规模网络的安全访问控制。

AAA框架 & 授权模型