上周，我们探讨了云计算供应商安全的7个基础，包括身份、认证、加密、ILP/DLP和审计追踪。现在我们来深入研究一下:访问控制。
根据您的云应用程序正在做什么，将有几个级别的访问控制。最简单的是在文件级:操作系统将对系统中的每个文件强制执行用户/组/世界或访问控制列表。一旦远程进程的凭证经过了身份验证，操作系统将根据运行用户的角色或概要文件适当地强制执行C/R/U/D特权。大多数操作系统还对进程和系统对象实施访问控制。这种粗粒度的访问管理是基本的，并且在云系统中是相当统一的——在这里不需要发现太多。
以类似的方式，DBMS系统在执行跨云的安全性方面将是相当统一的。所有DBMS安全系统都至少提供表级的访问控制，大多数还提供列级的限制。此外，DBMS将在事务级别强制锁，以管理争用和防止破坏。云在这里并没有太大的变化，所以在这个级别上没有太大的挑战。
在应用程序层面，事情变得有趣得多，因为云应用程序供应商从一开始就不得不在他们的访问控制机制上投入更多的工作。这是多租户的一些实际工作发生的地方。但是，访问控制实施模型在云应用程序类别之间以及在特定的供应商之间往往是非常不同的。例如，与会计系统、电子商务引擎、ERP系统或CRM系统相比，社交网络中的数据访问和共享细节有很大的不同。在尝试跨云集成时，您将发现访问控制的挑战。
为了让例子更清晰，我将使用Salesforce.com的细节。请不要将此解释为对他们的贿赂——这只是因为他们是跨云集成的常见目标，而我最了解他们的安全模型。
Salesforce.com的访问控制是通过一系列看似简单的过滤器定义和实施的。每个过滤器都适用于用户帐户的组或类:
配置文件定义了一类用户是否可以看到一个表、对象或功能区域
配置文件定义一个用户类是否可以看到一个表列(对象属性)
角色定义一个用户类是否可以看到一个记录(行或实例)
•记录类型定义了哪些profile可以看到记录中的单个单元格，并可以用来限制对几乎任何函数或对象类的访问。
这些过滤器有一些修饰符，允许委托，并扩大超级用户的控制范围，但大多数用户的体验是，应用所有这些过滤机制提供了非常好的访问控制级别。有时甚至到了恼怒的地步。锁定和过滤可能依赖于上下文或状态…并妨碍了一些必要的业务需求。因此，系统为数据共享提供了异常方法，在个人或组级别授予。
所有这些都在一个Salesforce实例中:它们还具有一种桥接实例的机制，这样公司就可以在SFDC的单独实例(“org”)中与业务伙伴共享单个记录。
安全的奇迹
所以这里的要点是:您的其他云应用程序使用这个安全模型吗?当然，可能存在等价的概念……但具体细节对于每个云应用程序供应商都是不同的。在尝试跨云集成时，目标是对涉及对象、上下文或事务的应用程序实施最严格的安全模型。这对开发人员来说是一个真正的挑战。
您要做的最后一件事是尝试模拟应用程序之外的所有安全逻辑。即使您的开发人员完全理解模型(相信我，这将是一个持续的困惑点)，也有太多的事情会出错——无论是在编码中还是在安全模型的持续配置/管理中。
但这就是问题所在:当集成云应用程序时，外部应用程序通常需要能够访问(或代表)广泛的用户(如果不是广泛的表(对象))的记录。例如，一个电子商务系统需要能够在CRM系统中为任何销售区域创造和关闭机会。外部云电子商务系统不需要模仿销售代表(在大多数情况下，您不会希望它这样做)，但它确实需要CRM特权，类似于最高级别的销售管理来完成交易。在这种情况下，答案是让电子商务集成点使用等同于相关销售副总裁的凭证。
这个例子之所以有效，是因为外部系统基本上只做一件事，而没有被CRM系统的一些内部请求触发。相反，如果外部系统提供的服务是保密的，访问应该高度依赖于用户(例如，查看补偿记录或佣金检查)，该怎么办?在这种情况下，外部云服务请求不能直接从用户的浏览器发出(例如，通过屏幕混搭呈现或通过Javascript和JSON触发)，而是通过用户的“本地”后端系统提供的数据机制进行管理。使用更宽松安全模型的云应该只能通过更严格模型的规则访问，使用来自该云的API调用。在这个特定的示例中，用户查看佣金数据的请求将从CRM云调用到佣金云，然后将结果拉到CRM表中，在这些表中可以应用适当级别的访问控制。
从本质上讲，访问控制策略必须为每一类跨云会话独立地考虑和解决。也就是说，为了可测试性、可维护性和可靠性，您将希望尽可能多地重用这些安全机制。
我喜欢标准——有很多选择
由于跨云的访问控制模型和执行机制的不同，提供统一级别的访问和可审计性似乎是一个永恒的挑战。不幸的是，我没有看到任何标准化机构能够解决这个问题——如果有的话，他们可能会将其制度化。
David Taber是Prentice Hall新书的作者，Salesforce.com的成功秘诀的首席执行官SalesLogistix是一家通过Salesforce.com认证的咨询公司，专注于通过使用CRM系统改善业务流程。SalesLogistix的客户遍布北美、欧洲、以色列和印度，David在高科技领域拥有超过25年的经验，其中包括10年的副总裁或以上职位。
在Twitter上关注CIO.com上的一切@CIOonline．
这个故事，“云供应商有多安全?”《第二部分》最初是由首席信息官 ．