Contrôle d'accès à base de rôles
Le contrôle d'accès basé sur les rôles (« Role-Based Access Control » (RBAC) en anglais) est un modèle de contrôle d'accès à un système d'information dans lequel chaque décision d'accès est basée sur le rôle auquel l'utilisateur est associé. La typologie et la granularité des rôles découlent généralement de la structure de l'entreprise ou de l'organisation ayant adopté ce système. Les utilisateurs exerçant des fonctions similaires peuvent être regroupés sous le même rôle. Un rôle, déterminé par une autorité centrale, associe à un sujet des autorisations d'accès sur un ensemble d'objets (des parties d'un système d'information par exemple). Une étude du NIST a montré que le modèle RBAC convenait à la majorité des besoins pour les entreprises et organisations. La modification des contrôles d'accès n'est pas nécessaire chaque fois qu'une personne se joint à une organisation ou la quitte, tant que les bonnes pratiques de gestion du cycle de vie des identités sont respectées. Ce modèle est également appelé contrôle d'accès non-discrétionnaire (« nondiscretionary access control » en anglais) et constitue une nouvelle possibilité de choix entre les systèmes à contrôle d'accès obligatoire (MAC) et contrôle d'accès discrétionnaire (DAC). On notera qu'un système DAC avec des groupes (tel qu'il est implémenté dans les systèmes de fichier POSIX) se rapproche fonctionnellement d'un RBAC. Le contrôle d’accès basé sur les rôles peut être géré au sein d’un système UNIX afin que les utilisateurs puissent obtenir les droits nécessaires pour créer, modifier ou supprimer des fichiers au sein d’un système. Par exemple le groupe root, qui est un super-utilisateur, va pouvoir modifier une grande partie voire l’ensemble des fichiers. Un utilisateur dit lambda pourra visualiser au sein d' /etc/group le groupe auquel il appartient afin de connaître ses droits. Pour connaître ses droits, il devra se documenter au sein de son organisation afin de connaitre les commandes qui lui sont disponibles de par son groupe.