RBAC

Cos’è RBAC?

RBAC (Role-Based Access Control) è un modello di autorizzazione (formalmente descritto nella norma ANSI INCITS 359-2004) in cui i permessi non vengono assegnati ai singoli utenti, ma a ruoli definiti — e agli utenti vengono poi assegnati i ruoli. Grazie a questo, quando cambia la posizione di un dipendente, basta modificare il suo ruolo invece di riconfigurare decine di diritti individualmente.

Il modello RBAC standard ha quattro livelli:

• Utenti — i singoli dipendenti
• Ruoli — es. “Contabile”, “Commerciale”, “Responsabile produzione”
• Permessi — operazioni atomiche (leggere una fattura, emettere una fattura, eliminare un cliente)
• Relazioni — quali permessi appartengono a quale ruolo

Varianti avanzate:

• RBAC gerarchico — i ruoli ereditano i permessi (Contabile junior ⊂ Contabile senior ⊂ Responsabile contabilità)
• RBAC vincolato — separazione dei compiti (Separation of Duties): es. la stessa persona non può emettere una fattura e pagarla
• RBAC dinamico — ruoli attivi in base al contesto (tempo, luogo, progetto)

Quando si utilizza

RBAC è il modello di autorizzazione base in ogni software B2B serio. Il suo limite: in scenari complessi (es. “questo utente ha accesso solo ai propri clienti nella regione X”) si verifica un’esplosione di ruoli — qui aiutano ReBAC o ABAC.

Vedi la sezione sicurezza e la pagina API.

Termini correlati

• ReBAC — modello più avanzato per scenari complessi. Vedi /it/glossario/rebac.
• SSO — l’SSO gestisce l’identità, RBAC gestisce le autorizzazioni. Vedi /it/glossario/sso.
• GDPR — RBAC limita l’accesso ai dati personali. Vedi /it/glossario/gdpr.
• ISO 27001 — l’Allegato A.5.15 richiede la gestione degli accessi. Vedi /it/glossario/iso-27001.

In Modulario

Modulario utilizza un modello ibrido — RBAC come base e ReBAC per gli scenari più complessi (es. “vedo solo i documenti dei progetti in cui sono nel team”). I ruoli possono essere personalizzati per modulo — la contabile può avere accesso completo alla Fatturazione, ma solo lettura nel CRM.

Modulario nella console amministrativa mostra la permission matrix — una tabella chiara che mostra quale ruolo ha accesso a quale modulo e a quali operazioni. Un audit rispetto a ISO 27001 ha così a disposizione un supporto semplice invece di dover scorrere codice o configurazioni XML.