RBAC

Qu’est-ce que le RBAC ?

Le RBAC (Role-Based Access Control) est un modèle d’autorisation (formellement décrit dans la norme ANSI INCITS 359-2004) dans lequel les permissions ne sont pas attribuées aux utilisateurs individuels, mais à des rôles définis — et les utilisateurs se voient ensuite attribuer des rôles. Ainsi, lors d’un changement de poste d’un employé, il suffit de modifier son rôle au lieu de reconfigurer des dizaines de droits individuellement.

Le modèle RBAC standard comporte quatre niveaux :

• Utilisateurs — employés concrets
• Rôles — ex. « Comptable », « Commercial », « Responsable production »
• Permissions — opérations atomiques (lire une facture, émettre une facture, supprimer un client)
• Relations — quelles permissions sont associées à quel rôle

Variantes avancées :

• RBAC hiérarchique — les rôles héritent des permissions (Comptable junior ⊂ Comptable senior ⊂ Responsable comptabilité)
• RBAC contraint — séparation des tâches (Separation of Duties) : ex. la même personne ne peut pas émettre une facture et la régler
• RBAC dynamique — rôles actifs selon le contexte (heure, lieu, projet)

Quand l’utiliser ?

Le RBAC est le modèle d’autorisation de base de tout logiciel B2B sérieux. Sa limite : dans des scénarios complexes (ex. « cet utilisateur n’a accès qu’à ses clients dans la région X »), on arrive à une explosion de rôles — c’est là qu’intervient ReBAC ou ABAC.

Termes associés

• ReBAC — modèle plus avancé pour les scénarios complexes. Voir /fr/glossaire/rebac.
• SSO — authentification, le RBAC est l’autorisation. Voir /fr/glossaire/sso.
• RGPD — le RBAC restreint l’accès aux données personnelles. Voir /fr/glossaire/gdpr.
• ISO 27001 — l’Annexe A.5.15 exige la gestion des accès. Voir /fr/glossaire/iso-27001.

Dans Modulario

Modulario utilise un modèle hybride — RBAC comme base et ReBAC pour les scénarios plus complexes (ex. « je vois uniquement les documents des projets dont je fais partie »). Les rôles sont configurables par module — la comptable peut avoir un accès complet à la Facturation, mais uniquement en lecture dans le CRM.

Modulario affiche dans la console d’administration une permission matrix — un tableau clair indiquant quel rôle a accès à quel module et quelles opérations. Un employé chargé d’un audit ISO 27001 dispose ainsi d’une base simple plutôt que d’avoir à parcourir du code ou des configurations XML.