Rollenbasierte Zugriffskontrolle

Rollenbasierte Zugriffskontrolle (RBAC) verbindet Berechtigungen mit Rollen und ordnet Personen diesen Rollen zu. Eine Rolle kann die Aufgaben eines Lesers oder Bestellers abbilden. Die Berechtigungen müssen konkret beschreiben, welche Handlungen erlaubt sind.

Rolle und Datenbereich

In einem hypothetischen Kundenportal darf eine Kundenadministratorin die Konten ihrer eigenen Firma verwalten. Der Rollenname gibt ihr keine Verwaltungsmacht über andere Kundenfirmen. Diese Begrenzung muss in den Zugriffsentscheidungen durchgesetzt werden.

RBAC erspart nicht die Planung von Ressourcen und Geltungsbereichen. Manche Regeln benötigen zusätzliche Eigenschaften wie die Firmenzugehörigkeit eines Dokuments. Rollen und attributbasierte Prüfungen können deshalb zusammenwirken. Eine größere Zahl von Rollennamen allein löst diese Abgrenzung nicht.

Quellen

• NIST CSRC — Role Based Access Control FAQs

• OWASP — Authorization Cheat Sheet