当用户需要访问特定资源时，访问控制策略的第一步是？

访问控制的第一步是身份认证，确认用户身份后，才能进一步判断其是否有访问权限。