contrôle d'accès à base de rôles

Le contrôle d'accès basé sur les rôles (« Role-Based Access Control » (RBAC) en anglais) est un modèle de contrôle d'accès à un système d'information dans lequel chaque décision d'accès est basée sur le rôle auquel l'utilisateur est associé. La typologie et la granularité des rôles découlent généralement de la structure de l'entreprise ou de l'organisation ayant adopté ce système. Les utilisateurs exerçant des fonctions similaires peuvent être regroupés sous le même rôle. Un rôle, déterminé par une autorité centrale, associe à un sujet des autorisations d'accès sur un ensemble d'objets (des parties d'un système d'information par exemple). Une étude du NIST a montré que le modèle RBAC convenait à la majorité des besoins pour les entreprises et organisations. La modification des contrôles d'accès n'est pas nécessaire chaque fois qu'une personne se joint à une organisation ou la quitte, tant que les bonnes pratiques de gestion du cycle de vie des identités sont respectées. Ce modèle est également appelé contrôle d'accès non-discrétionnaire (« nondiscretionary access control » en anglais) et constitue une nouvelle possibilité de choix entre les systèmes à contrôle d'accès obligatoire (MAC) et contrôle d'accès discrétionnaire (DAC). On notera qu'un système DAC avec des groupes (tel qu'il est implémenté dans les systèmes de fichier POSIX) se rapproche fonctionnellement d'un RBAC.