Autorización

¿Qué es la autorización en palabras sencillas?

La autorización es el proceso de comprobación de los derechos de acceso del usuario después de que haya superado con éxito la autenticación (haya confirmado su identidad). Si la autenticación responde a la pregunta «¿Quién eres?», la autorización responde a la pregunta «¿Qué se te permite hacer?».

Imagínese una oficina con distintas salas. La autenticación es cuando usted muestra una credencial en la entrada (demuestra que es empleado). La autorización es cuando el sistema comprueba a qué salas puede entrar: contabilidad, la sala de servidores o solo su propio departamento. Aunque sea empleado, puede tener derechos diferentes.

Lea sobre cómo se realiza la verificación de la identidad en el artículo Autenticación.

Cómo funciona la autorización

El proceso de autorización incluye tres etapas principales:

1. Verificación de la identidad (ya superada): el usuario ha superado la autenticación con éxito.
2. Solicitud de acceso: el usuario intenta realizar una acción (abrir un archivo, enviar un correo electrónico, cambiar la configuración).
3. Comprobación de derechos: el sistema compara la acción solicitada con los derechos del usuario (rol, grupo, políticas de acceso).
4. Permiso o denegación: si los derechos existen, la acción se realiza; si no, el usuario recibe un error de acceso.

La diferencia entre autorización y autenticación

Lea sobre los métodos de confirmación de la identidad en el artículo Autenticación multifactorial (MFA).

Modelos de autorización

• RBAC (Role-Based Access Control): acceso basado en roles. Los derechos se asignan no a cada usuario por separado, sino a los roles (administrador, gerente, empleado). El usuario recibe los derechos de su rol. El modelo más popular.
• ABAC (Attribute-Based Access Control): acceso basado en atributos. Los derechos dependen de las características del usuario (cargo, departamento, hora de acceso, geolocalización). Un modelo más flexible, pero complejo.
• DAC (Discretionary Access Control): control de acceso discrecional. El propietario del recurso decide por sí mismo a quién conceder el acceso.
• MAC (Mandatory Access Control): control de acceso obligatorio. Los derechos se asignan de forma centralizada (normalmente en los sistemas gubernamentales).

Lea sobre la configuración de los derechos de acceso en el artículo Control de acceso.

Dónde se utiliza la autorización

• Sitios web y aplicaciones: determinar qué contenido ve el usuario. Un usuario normal ve su página; un administrador, el panel de control.
• Sistemas corporativos: acceso a documentos, carpetas y programas. Un contador ve las finanzas; un desarrollador, el código.
• Servicios en la nube: delimitación del acceso a los almacenamientos en la nube, proyectos y bases de datos.
• API: comprobación de los derechos de acceso a los endpoints (por ejemplo, una API pública está disponible para todos, y una privada solo para los usuarios autorizados).
• Sistemas operativos: derechos para leer, escribir y ejecutar archivos.

Ejemplo de autorización en la vida

Usted inicia sesión en un portal corporativo:

1. Identificación: introduce su nombre de usuario (por ejemplo, ivanov).
2. Autenticación: introduce su contraseña; el sistema comprueba que realmente es usted.
3. Autorización: el sistema comprueba su rol en Active Directory. Si usted es un «Administrador», ve todas las secciones; si es un «Empleado», solo su cuenta personal y los documentos compartidos.

Lea sobre los sistemas corporativos en el artículo ADIS.