Qu’est-ce que le RBAC ? Contrôle d’accès

Le RBAC (contrôle d'accès basé sur les rôles) gère qui peut faire quoi dans un système. Les permissions sont rattachées à des rôles, et les rôles à des personnes. Un utilisateur obtient ses accès via son rôle, pas via des attributions ponctuelles, ce qui rend les permissions prévisibles quand les équipes changent.

Le modèle est simple à raisonner. Plutôt que d'accorder des dizaines de permissions individuelles à une nouvelle recrue, un administrateur attribue un rôle, et le rôle porte déjà le bon ensemble. Modifiez une fois les permissions d'un rôle, et chaque utilisateur de ce rôle se met à jour avec lui.

Le RBAC a un fondement formel. Le National Institute of Standards and Technology (NIST) a publié un modèle RBAC unifié en 2000, adopté ensuite comme norme ANSI/INCITS 359 en 2004 et révisé en 2012 (projet RBAC du NIST). Les rôles de base, les hiérarchies de rôles et les contraintes de séparation des tâches viennent tous de ces travaux.

Un système d'entrepôt illustre bien le principe. Un rôle « préparateur » peut consulter et mettre à jour les tâches de préparation, un rôle « superviseur » peut aussi les réattribuer et valider les exceptions, et un rôle « administrateur » gère les utilisateurs et les paramètres. Personne ne détient une permission reçue par accident.

Pourquoi c'est important pour le logiciel sur mesure

Le contrôle d'accès est une décision de conception, pas une fonctionnalité ajoutée après coup. Nous intégrons le RBAC dans les logiciels que nous livrons pour que les permissions reflètent la façon dont l'équipe du client travaille vraiment, ce qui compte surtout dans les projets informatiques et d'outils internes où de nombreux rôles touchent aux mêmes données. Des rôles clairs accélèrent aussi les audits et les départs.

Cette page est une définition, pas un conseil de sécurité.