Osoba může držet více rolí a role mohou dědit oprávnění skrze hierarchii, s výhradou omezení jako oddělení povinností.
RBAC snižuje potřebu spravovat oprávnění každé osoby zvlášť. Návrh rolí začíná identifikací opakovatelných funkcí, mapováním minimálních oprávnění potřebných pro každou funkci, přiřazením odpovědných vlastníků a definováním nekompatibilních kombinací. Procesy joiner, mover a leaver poté aktualizují členství v rolích, jak se odpovědnosti mění.
Klíčové body
ÚčelUčinit autorizaci konzistentnější a revidovatelnější propojením oprávnění s definovanými organizačními funkcemi.
Základní vztahyAdministrátoři přiřazují identity k rolím a oprávnění k rolím; relace může aktivovat jednu či více rolí, které je identita oprávněna používat.
Potřeba správyRevidujte definice rolí, členství, dědičnost, nepoužívaná oprávnění a konflikty oddělení povinností, místo schválení role pouze jednou.
Důležité omezeníŠpatně navržené role mohou akumulovat nadměrný přístup či produkovat stovky úzkých rolí. RBAC nevyhodnocuje každý kontextový faktor, takže některá rozhodnutí mohou potřebovat také atributy či pravidla politiky.