RBAC

Čo je RBAC?

RBAC (Role-Based Access Control) je autorizačný model (formálne popísaný v norme ANSI INCITS 359-2004), v ktorom sa oprávnenia nepriraďujú jednotlivým používateľom, ale definovaným rolám — a používateľom sa potom priradia roly. Vďaka tomu pri zmene pozície zamestnanca stačí zmeniť mu rolu namiesto prenastavovania desiatok práv jednotlivo.

Štandardný RBAC model má štyri úrovne:

• Používatelia — konkrétni zamestnanci
• Roly — napr. „Účtovníčka”, „Obchodník”, „Vedúci výroby”
• Oprávnenia (permissions) — atómové operácie (čítať faktúru, vystaviť faktúru, zmazať zákazníka)
• Relácie — ktoré oprávnenia prislúchajú ktorej roli

Pokročilé varianty:

• Hierarchický RBAC — roly dedia oprávnenia (Junior účtovník ⊂ Senior účtovník ⊂ Vedúci účtovníctva)
• Constrained RBAC — oddelenie povinností (Separation of Duties): napr. ten istý človek nemôže vystaviť faktúru aj ju uhradiť
• Dynamic RBAC — roly aktívne v závislosti od kontextu (čas, miesto, projekt)

Kedy sa používa

RBAC je základný autorizačný model v každom serióznom B2B softvéri. Jeho limit: v komplexných scenároch (napr. „tento používateľ má prístup len k svojim klientom v regióne X”) vzniká explózia rolí — tu pomáha ReBAC alebo ABAC.

Pozri stránku Bezpečnosť a stránku API.

Súvisiace pojmy

• ReBAC — pokročilejší model pre komplexné scenáre. Pozri /slovnik/rebac.
• SSO — autentizácia, RBAC je autorizácia. Pozri /slovnik/sso.
• GDPR — RBAC obmedzuje prístup k osobným údajom. Pozri /slovnik/gdpr.
• ISO 27001 — Annex A.5.15 vyžaduje riadenie prístupov. Pozri /slovnik/iso-27001.

V Modulariu

Modulario používa hybridný model — RBAC ako základ a ReBAC pre zložitejšie scenáre (napr. „vidím len dokumenty projektov, na ktorých som v tíme”). Roly sa dajú upravovať per modul — účtovníčka môže mať full prístup k Fakturácii, ale len čítanie v CRM.

Modulario v administratívnej konzole zobrazuje permission matrix — jasnú tabuľku, ktorá rola má prístup k akému modulu a akým operáciám. Audit voči ISO 27001 má tak zamestnanec jednoduchý podklad namiesto prehľadávania kódu alebo XML konfigurácií.