Che cos’è RBAC e quando dovrebbe essere utilizzato?

Il controllo degli accessi basato sui ruoli (RBAC) descrive un approccio alla sicurezza del sistema in cui agli utenti vengono assegnati uno o più ruoli distinti. I ruoli assegnati determinano le funzionalità dell’applicazione disponibili per l’utente.

RBAC è un modo popolare per imporre le restrizioni di accesso degli utenti perché ti consente di concedere autorizzazioni a grana fine che corrispondono alle responsabilità di ogni persona. Molti sistemi richiedono che alcuni utenti possano creare dati, altri possano visualizzarli e gli amministratori abbiano accesso illimitato. RBAC può soddisfare tutti questi requisiti.

Cosa sono i ruoli RBAC?

Il ruolo RABC è un insieme di autorizzazioni. Le autorizzazioni sono azioni uniche che gli utenti possono eseguire sul tuo sistema. Possono essere specifici di cui hai bisogno. La tua base di codice dovrebbe bloccare gli endpoint sicuri con i controlli delle autorizzazioni.

I ruoli combinano le autorizzazioni per semplificarne l’assegnazione agli utenti. Ecco un breve esempio della differenza tra ruolo e autorizzazione:

Permessi

1. Crea un nuovo articolo.
2. Pubblica un articolo.
3. Elimina articolo.

Ruoli

• Autore: Risoluzione 1.
• Editore: Risoluzione 1 e Risoluzione 2.
• Amministratore: Tutti i diritti.

Utenti

• Utente A: Il ruolo dell’autore.
• Utente B: ruolo di editore.

Questo modello significa che l’utente A può solo creare articoli, mentre l’utente B può creare e pubblicare.

In un’applicazione reale, potresti avere molte più autorizzazioni. Assegnarli direttamente agli utenti sarebbe noioso. Il concetto di ruolo collega perfettamente i controlli precisi dei permessi con una chiara definizione delle responsabilità dell’utente.

La maggior parte delle implementazioni RBAC consente agli utenti di avere un numero qualsiasi di ruoli. I ruoli possono sovrapporsi quando necessario. Se la stessa autorizzazione esiste in due ruoli utente, il loro account soddisferà comunque i controlli di controllo dell’accesso nel codice.

Implementazione dell’RBAC

RBAC può essere relativamente complesso da implementare in un sistema. È necessario valutare quante autorizzazioni sono necessarie, come verranno applicate e come i ruoli verranno creati e distribuiti tra gli utenti. Potresti riuscire a cavartela con un numero fisso di ruoli con cui iniziare, ma molte applicazioni più grandi consentiranno agli utenti di creare i propri ruoli per casi d’uso specifici.

Prima di iniziare a integrare RBAC, è meglio pianificare attentamente le tue esigenze. Restringere il più possibile l’ambito di implementazione può aiutare a ridurre la complessità. Inizia con il minimo indispensabile senza il quale la tua applicazione non può essere eseguita, quindi aggiungi gradualmente più ruoli e controlli.

L’altro lato di RBAC è quando i ruoli vengono applicati a una risorsa specifica. Ad esempio, un utente può essere autorizzato a inviare nuovi articoli alla categoria Blog, ma non alla categoria Casi. I tuoi controlli di autorizzazione ora dovranno prendere in considerazione la categoria con cui l’utente sta interagendo. Puoi controllare questo flusso creando dinamicamente nuove autorizzazioni per ciascuna categoria e assegnando loro un ID prevedibile.

È possibile semplificare il controllo delle autorizzazioni utilizzando un sistema esterno per gestire l’identità e l’autorizzazione. I sistemi di controllo degli accessi basati su policy che supportano RBAC, come Auth0 e Cerbos , possono aiutarti a impostare logiche di autorizzazione complesse senza molte modifiche al codice personalizzato. Queste piattaforme possono anche offrire un modo più semplice per controllare le autorizzazioni associate alle risorse.

Un sistema esterno è spesso eccessivo per piccoli progetti che funzionano con un numero limitato di ruoli e autorizzazioni. In questi casi, puoi creare un’implementazione RBAC da più tabelle di database: una associa le autorizzazioni ai ruoli e l’altra associa i ruoli agli utenti. Per verificare se un utente può eseguire un’azione, visualizza i suoi ruoli e verifica se uno qualsiasi dei ruoli include l’autorizzazione richiesta.

Svantaggi di RBAC

RBAC fornisce una maggiore sicurezza e autorizzazioni più flessibili se implementato correttamente. Tuttavia, presenta anche alcuni inconvenienti che dovresti riconoscere prima di usarlo per proteggere il tuo sistema.

Forse il più importante di questi è la facilità con cui le applicazioni basate su RBAC possono essere ingombra di ruoli inutilizzati e autorizzazioni duplicate. I ruoli devono essere creati solo quando soddisfano nuovi requisiti o riflettono specifiche responsabilità dell’utente. Avere troppi ruoli renderà più difficile la manutenzione del sistema e ridurrà la visibilità delle sovvenzioni richieste da ciascun utente.

È anche importante controllare regolarmente la distribuzione dei ruoli tra gli utenti. I ruoli devono essere precisi in modo che agli utenti possa essere assegnato il set minimo di ruoli di cui hanno bisogno per lavorare. L’allocazione di troppi ruoli o l’assegnazione di troppe autorizzazioni all’interno di ciascun ruolo può far sì che gli account diventino eccessivamente privilegiati. Ciò aumenta il rischio per la tua applicazione se un account è compromesso.

RBAC richiede anche una conoscenza preliminare di come funzionerà il tuo sistema e dove sono i confini tra le responsabilità. Cercare di implementare RBAC senza questa comprensione sarà in genere non ottimale, poiché le autorizzazioni e i ruoli saranno troppo ampi o noiosamente precisi. Le dimensioni e la forma della tua soluzione RBAC dovrebbero generalmente riflettere il funzionamento delle tue operazioni interne.

Riepilogo

Il controllo dell’accesso basato sui ruoli è una delle forme più comuni di limitazione dell’accesso degli utenti nelle applicazioni software. Consente di configurare autorizzazioni dettagliate, che vengono poi aggregate in ruoli da assegnare agli utenti. Questo approccio consente un elevato grado di flessibilità e personalizzazione, ma può anche portare a gonfiori se non controlli attivamente quali ruoli sono in uso.

Le alternative all’RBAC includono gli elenchi di controllo dell’accesso , che fungono da regole per concedere o negare l’accesso in base alle condizioni, e il controllo dell’accesso basato sugli attributi (ABAC) , che protegge l’accesso in base agli attributi dell’utente richiedente. ABAC può fornire una flessibilità ancora maggiore quando gli utenti hanno molti ruoli, ma RBAC è la scelta migliore se desideri che il tuo sistema di controllo degli accessi rappresenti accuratamente la struttura della tua organizzazione.