Qu’est-ce que le contrôle d’accès basé sur les rôles (RBAC) ?

Dans un système RBAC, les organisations doivent d’abord créer des rôles spécifiques, puis définir les permissions et privilèges associés à ces rôles. Les entreprises commencent souvent par séparer les rôles en trois grandes catégories : administrateurs, spécialistes ou experts, et utilisateurs finaux.

Pour affiner la configuration des rôles destinés à des groupes d’utilisateurs spécifiques, des facteurs comme l’autorité, les responsabilités et les niveaux de compétence sont également pris en compte. Parfois, un rôle peut correspondre directement à un intitulé de poste. Dans d’autres cas, le rôle regroupe un ensemble de permissions qui peuvent être attribuées à un utilisateur remplissant certaines conditions, quel que soit son poste.

Les utilisateurs se voient souvent attribuer plusieurs rôles ou peuvent être affectés à un groupe de rôles avec différents niveaux d’accès. Certains rôles sont hiérarchiques et accordent aux managers un ensemble complet d’autorisations, tandis que les rôles subordonnés n’ont accès qu’à un sous-ensemble de ces permissions. Par exemple, le rôle d’un superviseur peut lui donner des droits d’écriture sur un document, tandis que les membres de son équipe ne disposent que de droits de lecture.

Un exemple de RBAC en action

1. L'administrateur informatique d'un hôpital crée un rôle RBAC pour le personnel « infirmier ».
2. Il définit les permissions associées à ce rôle, telles que la consultation des médicaments ou la saisie de données dans un système de dossier médical électronique (DME).
3. Les membres du personnel infirmier se voient attribuer le rôle RBAC « infirmier ».
4. Lorsque les utilisateurs affectés à ce rôle se connectent, le système RBAC vérifie les autorisations auxquelles ils ont droit et leur accorde l'accès pour cette session.
5. Les autres autorisations, comme la prescription de médicaments ou la demande d'examens, sont refusées à ces utilisateurs, car ils ne sont pas autorisés dans le cadre du rôle d'infirmier. 

De nombreuses organisations utilisent une solution de gestion des identités et des accès (IAM) pour déployer le RBAC au sein de leurs entreprises. Les systèmes IAM interviennent à la fois dans l'authentification et l'autorisation dans un schéma RBAC :

• Authentification : les systèmes IAM vérifient l'identité d'un utilisateur en comparant ses informations d’identification à celles d’un répertoire ou d’une base de données centralisée des utilisateurs.
  
  
• Autorisation : les systèmes IAM autorisent les utilisateurs en vérifiant leur rôle dans l'annuaire, puis en leur accordant les permissions appropriées en fonction du rôle défini dans le système RBAC de l’organisation.

Le National Institute of Standards and Technology (NIST), qui a développé le modèle RBAC, propose trois règles de base pour tout système RBAC :

1. Attribution de rôle : un utilisateur doit se voir attribuer un ou plusieurs rôles actifs pour pouvoir exercer des permissions ou des privilèges.
   
   
2. Autorisation de rôle : l’utilisateur doit être autorisé à assumer le ou les rôles qui lui ont été attribués.
   
   
3. Autorisation de permissions : les permissions ou privilèges ne sont accordés qu’aux utilisateurs autorisés par l'attribution de leurs rôles.

Il existe quatre modèles distincts pour la mise en œuvre du RBAC, mais chaque modèle repose sur une structure de base commune. Chaque modèle successif ajoute des fonctionnalités et des caractéristiques supplémentaires par rapport au précédent.

• RBAC de base
• RBAC hiérarchique
• RBAC restreint
• RBAC symétrique

RBAC de base
Parfois appelé RBAC plat, ce modèle est la base nécessaire pour tout système RBAC. Il suit les trois règles fondamentales du RBAC. Les utilisateurs se voient attribuer des rôles, qui leur confèrent l'accès à des ensembles spécifiques de permissions et de privilèges. Le RBAC de base peut être utilisé comme système de contrôle d'accès principal ou comme socle pour des modèles RBAC plus avancés.

RBAC hiérarchique
Ce modèle ajoute des hiérarchies de rôles qui reflètent la structure de gestion d'une organisation. Dans une hiérarchie de rôles, chaque rôle hérite des permissions du rôle situé en dessous de lui, tout en bénéficiant de nouvelles autorisations.

Par exemple, une hiérarchie de rôles pourrait inclure des cadres, des managers, des superviseurs et des employés de ligne. Un cadre au sommet de la hiérarchie aurait accès à l'ensemble complet des permissions, tandis que les managers, superviseurs et employés recevraient des sous-ensembles de ces autorisations, de plus en plus réduits.  

RBAC restreint
En plus des hiérarchies de rôles, ce modèle introduit des capacités permettant d'appliquer la séparation des tâches (SOD). La séparation des tâches prévient les conflits d'intérêts en exigeant que certaines tâches soient réalisées par deux personnes distinctes.

Par exemple, l'utilisateur qui soumet une demande de remboursement pour des frais professionnels ne doit pas être la même personne que celle qui approuve cette demande La politique de RBAC restreint garantit que les privilèges des utilisateurs sont correctement répartis pour ce type de tâches.

RBAC symétrique
Ce modèle est la version la plus avancée, flexible et complète du RBAC. En plus des fonctionnalités des modèles précédents, il offre une visibilité plus approfondie sur les permissions dans l'ensemble de l'entreprise.

Les organisations peuvent examiner comment chaque permission est associée à chaque rôle et utilisateur au sein du système. Elles peuvent également ajuster et mettre à jour les permissions liées aux rôles à mesure que les processus métier et les responsabilités des employés évoluent.

Ces fonctionnalités sont particulièrement précieuses pour les grandes organisations qui doivent s'assurer que chaque rôle et utilisateur dispose du minimum d'accès requis pour accomplir leurs tâches.