访问控制机制是指限制主体访问客体的权利或能力，以及限制访问物理区域和使用计算机系统和计算机存储数据的过程。基于安全标签的访问控制机制参考安全标签，根据访问主体的安全标签和被访问的数据资源确定访问权限。
在了解安全标签之前，我们需要了解以下与访问控制相关的术语:
自主访问控制:资源的所有者指定他们对资源的访问权限。或者一个用户进程可以有选择地与其他用户共享资源，这是对单个用户实现访问控制的过程和措施。DAC通常使用访问控制表或能力表来实现访问控制功能。
强制访问控制(Mandatory access control):强制访问控制是指用户和文件都有一个固定的安全属性，系统使用这个安全属性来确定用户是否可以访问一个文件。安全属性是强制性规定，由安全管理员或操作系统根据有限的规则确定，用户或用户的程序不能修改。系统通过比较对象和主体的安全属性来确定主体是否可以访问对象。如果系统认为某个具有某种安全属性的用户不适合访问某个文件，那么就没有人可以赋予该用户访问该文件的权限。
基于角色的访问控制:所谓角色，就是在业务系统中的地位、职位或者分工。RBAC是管理员对系统和数据的访问权限的责任，将这些权限赋予不同工作职责的用户，并根据业务需求或变化随时调整角色的访问权限，包括对传递性的限制。
主体和客体:主体通常指用户，或用户发起的过程，或用户正在使用的设备。主体发起对资源的访问，是系统中信息流的发起者。客体通常指信息的载体或从其他主体或客体接收信息的实体。
网络安全等级保护中的安全标记
网络安全等级保护2.0安全计算环境中访问控制的评价条款:g)为重要的主体和对象设置安全标签，用安全标签控制主体对信息资源的访问。
标记数据资源安全:在网络安全等级保护中，我们需要对数据资源进行分类分级，作为数据安全标记，其中数据资源可以按照业务范围进行分类。
访问用户安全标签:根据业务应用系统的用户职责和工作流程，根据业务需求对用户进行安全标签标记，并将用户标识和对应的用户安全标签数据存储在用户标签表中。其中，用户安全标签还包含业务范围和业务信息安全保护级别两个要素，其含义与数据安全标签一致。资源整理后，安全标签数据存储在数据库中的数据标签表中，用于存储数据资源的基本信息和对应的数据安全标签。
基于安全标签的访问控制实现机制
强制访问控制通过策略将访问控制规则“强加”给访问主体，即系统强制主体服从访问控制策略。在其操作的主体和客体上做安全标记。这些标记是实施强制访问控制的基础。当我们访问时，系统通过比较主体和客体的安全标签来判断主体是否可以访问其想要操作的客体。访问控制机制是指限制主体访问客体的权利或能力，以及限制访问物理区域和使用计算机系统和计算机存储数据的过程。基于安全标签的访问控制机制参考安全标签，根据访问主体的安全标签和被访问的数据资源确定访问权限。
基于安全标签的访问控制是强制的，访问控制策略要由授权主体来配置，属于强制访问控制机制，不同于自主访问控制机制。
