RBAC

Co je RBAC?

RBAC (Role-Based Access Control) je autorizační model (formálně popsaný v normě ANSI INCITS 359-2004), ve kterém se oprávnění nepřiřazují jednotlivým uživatelům, ale definovaným rolím — a uživatelům se potom přiřadí role. Díky tomu při změně pozice zaměstnance stačí změnit mu roli namísto přenastavování desítek práv jednotlivě.

Standardní RBAC model má čtyři úrovně:

• Uživatelé — konkrétní zaměstnanci
• Role — např. „Účetní”, „Obchodník”, „Vedoucí výroby”
• Oprávnění (permissions) — atomové operace (číst fakturu, vystavit fakturu, smazat zákazníka)
• Relace — která oprávnění přísluší které roli

Pokročilé varianty:

• Hierarchický RBAC — role dědí oprávnění (Junior účetní ⊂ Senior účetní ⊂ Vedoucí účetnictví)
• Constrained RBAC — oddělení povinností (Separation of Duties): např. stejný člověk nemůže vystavit fakturu i ji uhradit
• Dynamic RBAC — role aktivní v závislosti na kontextu (čas, místo, projekt)

Kdy se používá

RBAC je základní autorizační model v každém seriózním B2B softwaru. Jeho limit: v komplexních scénářích (např. „tento uživatel má přístup jen ke svým klientům v regionu X”) vzniká exploze rolí — zde pomáhá ReBAC nebo ABAC.

Viz stránku Bezpečnost a stránku API.

Související pojmy

• ReBAC — pokročilejší model pro komplexní scénáře. Viz /cs/slovnik/rebac.
• SSO — autentizace, RBAC je autorizace. Viz /cs/slovnik/sso.
• GDPR — RBAC omezuje přístup k osobním údajům. Viz /cs/slovnik/gdpr.
• ISO 27001 — Annex A.5.15 vyžaduje řízení přístupů. Viz /cs/slovnik/iso-27001.

V Modulario

Modulario používá hybridní model — RBAC jako základ a ReBAC pro složitější scénáře (např. „vidím jen dokumenty projektů, na kterých jsem v týmu”). Role lze upravovat per modul — účetní může mít plný přístup k Fakturaci, ale jen čtení v CRM.

Modulario v administrativní konzoli zobrazuje permission matrix — přehlednou tabulku, která role má přístup ke kterému modulu a jakým operacím. Audit vůči ISO 27001 má tak zaměstnanec jednoduchý podklad namísto prohledávání kódu nebo XML konfigurací.