ReBAC

Qu’est-ce que le ReBAC ?

Le ReBAC (Relationship-Based Access Control) est un modèle d’autorisation dans lequel les permissions sont dérivées des relations entre les objets dans le système, et non de rôles directement assignés. Conceptuellement, il est issu de Google Zanzibar — le système d’autorisation interne de Google publié en 2019, qui gère les permissions sur des services comme Drive, YouTube, Cloud Platform. Les implémentations open-source (OpenFGA, SpiceDB, Ory Keto) ont permis à d’autres entreprises d’utiliser ce modèle.

Dans ReBAC, les permissions sont exprimées sous la forme « le sujet a la relation X avec l’objet Y ». Exemple :

• user:anna est member de team:projet-acme
• team:projet-acme est owner de document:contrat-2025
• Règle : si l’utilisateur est membre d’une équipe qui est propriétaire d’un document → l’utilisateur peut lire le document

Avantages par rapport au RBAC :

• Hiérarchies et organisations — l’accès hérite de la relation parent-enfant
• Partage entre utilisateurs — scénario typique e-commerce/SaaS (« partager un document avec la personne X »)
• Granularité fine sans explosion de rôles

Inconvénient : complexité technique plus grande, besoin d’un service d’autorisation spécialisé.

Quand l’utiliser ?

ReBAC convient pour :

• Les SaaS multi-tenant avec des hiérarchies clients complexes
• Les outils collaboratifs (documents, projets, équipes)
• L’architecture microservices, où une seule couche d’autorisation sert plusieurs services
• Les scénarios avec partage dynamique entre utilisateurs

Termes associés

• RBAC — modèle plus simple, typique dans les ERP classiques. Voir /fr/glossaire/rbac.
• SSO — couche d’identité sur laquelle ReBAC s’appuie. Voir /fr/glossaire/sso.
• RGPD — ReBAC permet une minimisation précise des données. Voir /fr/glossaire/gdpr.

Dans Modulario

Modulario utilise une couche ReBAC pour les permissions fines — le chef de projet ne voit que les équipes dont il fait partie ; le commercial ne voit que les clients qui lui sont attribués ; le consultant d’un prestataire externe ne voit que les documents partagés pour la mission spécifique. La configuration se fait via le module Registre ou l’API.

Les entreprises multi-entités utilisent également ReBAC pour séparer les filiales — chaque filiale a son espace de travail, l’auditeur central voit les données de toutes les entités via la relation « auditeur groupe », mais le comptable local ne voit que sa propre entité. En termes de performance, Modulario peut effectuer des vérifications d’autorisation en quelques millisecondes même avec des dizaines de millions de relations.