Osoba może posiadać wiele ról, a role mogą dziedziczyć uprawnienia przez hierarchię, z zastrzeżeniem ograniczeń takich jak podział obowiązków.
RBAC zmniejsza potrzebę zarządzania uprawnieniami każdej osoby osobno. Projektowanie ról zaczyna się od zidentyfikowania powtarzalnych funkcji, zmapowania minimalnych uprawnień potrzebnych dla każdej z nich, przypisania rozliczalnych właścicieli i zdefiniowania niekompatybilnych kombinacji. Procesy joiner, mover i leaver aktualizują następnie członkostwo w rolach wraz ze zmianami odpowiedzialności.
Najważniejsze punkty
CelUczynienie autoryzacji bardziej spójną i poddającą się przeglądowi przez powiązanie uprawnień ze zdefiniowanymi funkcjami organizacyjnymi.
Kluczowe relacjeAdministratorzy przypisują tożsamości do ról, a uprawnienia do ról; sesja może aktywować jedną lub więcej ról, do których tożsamość jest upoważniona.
Wymóg nadzoruPrzeglądaj definicje ról, członkostwo, dziedziczenie, nieużywane uprawnienia i konflikty podziału obowiązków, zamiast zatwierdzać rolę tylko raz.
Istotne ograniczenieŹle zaprojektowane role mogą akumulować nadmierny dostęp lub produkować setki wąskich ról. RBAC nie ocenia każdego czynnika kontekstowego, więc część decyzji może wymagać także atrybutów lub reguł polityki.