RBAC

¿Qué es RBAC?

RBAC (Role-Based Access Control) es un modelo de autorización (formalmente descrito en la norma ANSI INCITS 359-2004) en el que los permisos no se asignan a usuarios individuales, sino a roles definidos, y a los usuarios se les asignan roles. Gracias a esto, cuando un empleado cambia de puesto, basta con cambiarle el rol en lugar de reconfigurar decenas de permisos individuales.

El modelo RBAC estándar tiene cuatro niveles:

• Usuarios — empleados concretos
• Roles — p. ej., “Contable”, “Comercial”, “Jefe de producción”
• Permisos (permissions) — operaciones atómicas (leer factura, emitir factura, eliminar cliente)
• Relaciones — qué permisos corresponden a qué roles

Variantes avanzadas:

• RBAC jerárquico — los roles heredan permisos (Contable junior ⊂ Contable senior ⊂ Jefe de contabilidad)
• RBAC restringido — separación de funciones (Separation of Duties): p. ej., la misma persona no puede emitir y pagar una factura
• RBAC dinámico — roles activos según el contexto (hora, lugar, proyecto)

Cuándo se usa

RBAC es el modelo de autorización básico en todo software B2B serio. Su limitación: en escenarios complejos (p. ej., “este usuario solo tiene acceso a sus clientes en la región X”) se produce una explosión de roles; aquí ayuda ReBAC o ABAC.

Ver página Seguridad y página API.

Términos relacionados

• ReBAC — modelo más avanzado para escenarios complejos. Ver /es/glosario/rebac.
• SSO — autenticación; RBAC es autorización. Ver /es/glosario/sso.
• GDPR — RBAC restringe el acceso a los datos personales. Ver /es/glosario/gdpr.
• ISO 27001 — el Anexo A.5.15 exige la gestión de accesos. Ver /es/glosario/iso-27001.

En Modulario

Modulario utiliza un modelo híbrido: RBAC como base y ReBAC para escenarios más complejos (p. ej., “solo veo los documentos de los proyectos en los que estoy en el equipo”). Los roles se pueden ajustar por módulo: la contable puede tener acceso completo a Facturación pero solo lectura en CRM.

Modulario muestra en la consola de administración una matriz de permisos: una tabla clara que indica qué rol tiene acceso a qué módulo y qué operaciones. La auditoría frente a ISO 27001 dispone así de un soporte sencillo en lugar de tener que revisar el código o las configuraciones XML.