ACL访问控制列表包含什么

ACL（Access Control List，访问控制列表）是一种基于规则的安全机制，用于定义“谁可以对什么资源执行什么操作”。在不同的应用场景（如网络设备、操作系统、数据库、云服务等）中，ACL 的具体形式有所不同，但核心组成要素基本一致。

下面从通用模型和网络设备两个角度说明 ACL 通常包含的内容。

一、ACL 的通用核心组成（逻辑结构）

一个标准的访问控制列表条目（规则）一般包含以下部分：

1. 主体（Subject / Principal）

表示“谁”发起访问：

• 用户（User）
• 用户组（Group）
• 进程 / 服务账号
• IP 地址 / 主机
• 角色（RBAC 中常见）

2. 客体（Object / Resource）

表示“被访问的对象”：

• 文件、目录
• 网络端口
• 数据库表
• API 接口
• 云资源（如 S3 Bucket）

3. 操作（Action / Permission）

表示“能做什么”：

• 读（Read）
• 写（Write）
• 执行（Execute）
• 删除（Delete）
• 网络层：允许（Permit）/ 拒绝（Deny）

4. 决策（Decision）

• 允许（Allow）
• 拒绝（Deny）

5. 匹配条件（可选）

• 协议类型（TCP / UDP / ICMP）
• 时间范围
• 源 / 目的地址
• 端口号

6. 规则顺序（非常重要）

• ACL 通常是自上而下匹配
• 一旦匹配即执行，不再继续向下
• 末尾常有隐式拒绝（Deny All）

二、网络设备中的 ACL（以路由器 / 防火墙为例）

在网络设备中，ACL 常用于控制流量，常见包含：

1. 标准 ACL（Standard ACL）

• 仅基于源 IP 地址
• 编号范围（Cisco）：
  • 1–99：IPv4 标准 ACL
• 示例：

access-list 10 permit 192.168.1.0 0.0.0.255

2. 扩展 ACL（Extended ACL）

包含更丰富信息：

• 源 IP
• 目的 IP
• 协议（IP / TCP / UDP / ICMP）
• 源端口 / 目的端口

示例：

access-list 100 permit tcp 192.168.1.0 0.0.0.255 any eq 80

3. 常见字段（网络设备 ACL）

• 规则编号
• 动作（permit / deny）
• 协议
• 源地址 + 反掩码
• 目的地址 + 反掩码
• 端口 / 服务
• 日志（log）

三、文件系统 ACL（如 Linux / Windows）

Linux（getfacl / setfacl）

包含：

• 用户权限（user::rwx）
• 组权限（group::rwx）
• 其他用户（other::rwx）
• 扩展 ACL 用户 / 组

Windows NTFS ACL

包含：

• 安全主体（SID）
• 权限类型
• 允许 / 拒绝
• 继承关系

四、一句话总结

ACL 访问控制列表通常包含：主体、客体、操作、允许/拒绝决策，以及匹配条件和规则顺序。

如果你指的是某一类 ACL（如 Cisco ACL、Linux ACL、云 ACL、数据库 ACL），可以告诉我，我可以给你更具体的结构示例。