Term: Kontrola dostępu oparta na rolach [RBAC]
(ang. Role-Based Access Control)
Parametry bezpieczeństwa, które ograniczają pracownikom dostęp wyłącznie do informacji wymaganych do wykonywania ich unikalnych zadań związanych z pełnioną w organizacji rolą, uniemożliwiając im czytanie dokumentów lub materiałów wrażliwych, które nie są istotne w ich codziennej pracy.
W zabezpieczeniach systemów komputerowych kontrola dostępu użytkowników oparta na rolach to podejście do ograniczania dostępu do systemu lub jego elementów jedynie do upoważnionych użytkowników. W znaczny sposób wpływa to na bezpieczeństwo całej organizacji i jej poszczególnych jednostek, zmniejszając jednocześnie możliwość nieuprawnionego dostępu w głąb systemów (w wypadku przejęcia danych dostępowych jednego z pracowników). Jest polecanym systemem w organizacjach, gdzie dostępy do systemów powinny mieć tylko określone osoby w zależności od wykonywanych zadań. W ramach tego systemu można zaimplementować obowiązkową kontrolę dostępu MAC (ang. Mandatory Access Control) lub uznaniową kontrolę dostępu DAC (ang. Discretionary Access Control).
Kontrola dostępu oparta na rolach to niezależny od zasad mechanizm kontroli dostępu zdefiniowany wokół ról i uprawnień. Składniki RBAC, takie jak uprawnienia każdej z ról, role użytkownika i relacje między nimi, ułatwiają przypisywanie użytkowników. RBAC może służyć do ułatwienia administrowania zabezpieczeniami w dużych organizacjach z wieloma użytkownikami i zróżnicowanymi typami uprawnień. Chociaż kontrola dostępu typu RBAC różni się od zasad kontroli dostępu w systemach MAC i DAC, może wymusić te zasady bez żadnych komplikacji.
W przypadku RBAC zdefiniowano trzy podstawowe zasady:
- Przypisywanie roli – podmiot może skorzystać z uprawnienia tylko wtedy, gdy wybrał lub przypisano mu rolę.
- Autoryzacja roli – aktywna rola podmiotu musi być dla niego autoryzowana. W przypadku tej reguły zapewnia ona, że użytkownicy mogą przyjmować tylko role, do których są upoważnieni.
- Zezwolenie – podmiot może skorzystać z pozwolenia tylko wtedy, gdy wydane zostało ważne pozwolenie uprawniające podmiot do odgrywania aktywnej roli. Ta reguła zapewnia, że użytkownicy mogą korzystać tylko z tych uprawnień, do których są upoważnieni.