Перегляд вихідного коду сторінки Керування доступом на основі ролей

'''Керування доступом на основі ролей''' ({{lang-en|Role Based Access Control}}, '''RBAC''')&nbsp;— розвиток політики [[Вибіркове керування доступом|вибіркового керування доступом]], при якому права доступу суб'єктів системи на об'єкти групуються з урахуванням специфіки їх застосування, утворюючи ролі<ref>''Ferraiolo D. F., Kuhn D. R.'' (October 1992). "[http://csrc.nist.gov/rbac/ferraiolo-kuhn-92.pdf Role Based Access Control] {{Webarchive|url=https://web.archive.org/web/20111018064200/http://csrc.nist.gov/rbac/ferraiolo-kuhn-92.pdf |date=18 Жовтня 2011 }}". ''15th National Computer Security Conference'': 554—563.</ref><ref>Sandhu R., Coyne E. J., Feinstein H. L., Youman C. E. (August 1996). «[http://csrc.nist.gov/rbac/sandhu96.pdf Role-Based Access Control Models] {{Webarchive|url=https://web.archive.org/web/20110605095531/http://csrc.nist.gov/rbac/sandhu96.pdf |date=5 Червня 2011 }}». ''IEEE Computer'' (IEEE Press) '''29''' (2): 38–47.</ref>.

Формування ролей покликане визначити чіткі і зрозумілі для [[Користувач (інформатика)|користувачів]] комп'ютерної системи правила розмежування доступу. Рольове розмежування доступу дозволяє реалізувати гнучкі та динамічно змінні в процесі функціонування комп'ютерної системи правила розмежування доступу.

Таке розмежування доступу є складовою багатьох сучасних комп'ютерних систем. Як правило, даний підхід застосовується в системах захисту СУБД, а окремі елементи реалізуються в мережевих [[Операційна система|операційних системах]]. Рольовий підхід часто використовується в системах, для користувачів яких чітко визначено коло їх посадових повноважень і обов'язків.

Незважаючи на те, що Роль є сукупністю прав доступу на об'єкти комп'ютерної системи, рольове керування доступом аж ніяк не є окремим випадком вибіркового управління доступом, так як його правила визначають порядок надання доступу суб'єктам комп'ютерної системи в залежності від наявних (або відсутніх) у нього ролей в кожен момент часу, що є характерним для систем [[Мандатне керування доступом|мандатного керування доступом]]. З іншого боку, правила рольового розмежування доступу є більш гнучкими, ніж при мандатному підході до розмежування.

Так як привілеї не призначаються користувачам безпосередньо і отримуються ними тільки через свою роль (або ролі), управління індивідуальними правами користувача по суті зводиться до призначення йому ролей. Це спрощує такі операції, як додавання користувача або зміна підрозділу користувачем.

== Історія ==
Елементарні форми моделі RBAC були здійснені в багатьох спеціальних формах на багатьох системах, починаючи з [[1970-ті|1970-х років]]. Контроль доступу на основі ролей, який використовується в даний час, відбувається з моделі, запропонованої Феррайоло ({{lang-en|Ferraiolo}}) і Куном ({{lang-en|Kuhn}}) ([[1992]]) і як зразкова модель пізніше вдосконалена Санді ({{lang-en|Sandhu}}), Койн, Фейнштейн і Йомала ([[1996]]).

* [[1992]] рік&nbsp;— стаття Феррайоло і Куна, яка визначає RBAC за допомогою доступу тільки через ролі, ієрархії і обмеження. формальна модель;
* [[1994]] рік&nbsp;— DTOS розташовував дослідний зразок RBAC, на прототипі моделі, запропонованої Феррайоло, Кун, Гаврилья ({{lang-en|Gavrila}})
* [[1994]] рік&nbsp;— стаття Nyanchama і Osborn визначає модель;
* [[1994]] рік&nbsp;— [[IBM]] подає (в Європі) першу заявку на патент в області RBAC, цитує Феррайоло і Куна;
* [[1995]] рік&nbsp;— Феррайоло, Кугіні ({{lang-en|Cugini}}), Кун розширили формальну модель, ввівши визначення форм поділу обов'язків;
* [[1996]] рік&nbsp;— метод Санді для того, щоб здійснити МАС на основі RBAC;
* [[1997]]-[[1998]] роки&nbsp;— [[Sybase]], Безпечне Обчислення, [[Siemens]] оголошує про продукти RBAC, які базуються безпосередньо на моделі
* [[1997]] рік&nbsp;— безпечне обчислення включає модель Феррайоло-Куна RBAC в американську Глобальну Команду DoD і Систему управління; виходить стаття Куна на тему поділу обов'язків, необхідних і достатніх умов для безпеки поділу;
* [[1997]] рік&nbsp;— стаття Осборна заснована на відносинах між RBAC і багаторівневою безпекою мандатної моделі політики безпеки; анотація ролі, що зв'язує RBAC і багаторівневу безпеку
* [[1998]] рік&nbsp;— RBAC&nbsp;— метод Куна для того, щоб здійснити RBAC на системі МАС;
* [[1999]] рік&nbsp;— Барклей ({{lang-en|Barkley}}), Феррайоло, Кун відкривають вихідний дослідний зразок RBAC для розвинених вебсерверів;
* [[2000]] рік&nbsp;— Санді, Феррайоло, Кун публікують статтю, що визначає об'єднані моделі RBAC, і пропонують стандарт RBAC;
* [[2004]] рік&nbsp;— Американський національний інститут стандартів і Міжнародний комітет по стандартам інформаційних технологій (ANSI / INCITS) приймають запропоновану Санді, Феррайоло і Куном модель RBAC як єдиний стандарт.

== Базова модель RBAC ==
Для визначення моделі RBAC визначаються наступні умови:
* S = Суб'єкт = Людина або автоматизований агент (множина користувачів);
* R = Роль = Робоча функція або назва, яка визначається на рівні авторизації (множина ролей);
* P = Дозволи = Затвердження режиму доступу до ресурсу (множина прав доступу на об'єкти системи);
* SE = Сесія = Відповідність між S, R та / або P
* SA = Призначення суб'єкта
* PA: R → 2p&nbsp;— функція, що визначає для кожної ролі множину прав доступу; при цьому для кожного p ∈ P існує r ∈ R така, що p ∈ PA (r);
* RH = Частково впорядкована ієрархія ролей. RH може бути ще записана так:
** Один суб'єкт може мати кілька ролей.
** Одну роль можуть мати декілька суб'єктів.
** Одна роль може мати кілька дозволів.
** Один дозвіл може належати кільком ролям.

Ролі призначаються суб'єктам, внаслідок чого суб'єкти отримують ті чи інші дозволи через ролі. RBAC вимагає саме такого призначення, а не прямого призначення дозволів суб'єктам, інакше це призводить до складно контрольованих відносин між суб'єктами і дозволами<ref>{{Cite web|url=https://csrc.nist.gov/projects/role-based-access-control/faqs#02|title=Role Based Access Control - FAQs|last=Editor|first=CSRC Content|website=csrc.nist.gov|language=EN-US|accessdate=2018-04-07|archive-date=8 Квітня 2018|archive-url=https://web.archive.org/web/20180408010409/https://csrc.nist.gov/projects/role-based-access-control/faqs#02}}</ref>.

На можливість успадкування дозволів від протилежних ролей накладається обмежувальна норма, яка дозволяє досягти належного поділу режимів. Наприклад, одній і тій же особі може бути не дозволено створити обліковий запис для когось, а потім авторизуватися під цим обліковим записом.

Використовуючи нотацію теорії множин:
* <math>PA \subseteq P\times R</math>, при цьому дозволи призначаються зв'язкам ролей у відношені «багато до багатьох».
* <math>SA \subseteq S\times R</math>, при цьому суб'єкти призначаються зв'язкам ролей і суб'єктів у відношені «багато до багатьох».
* <math>RH \subseteq R\times R</math>

Позначення: x ≥ y означає, що x успадковує дозволи y.

Суб'єкт може мати множину одночасних сесій з різними дозволами.

== Можливості та застосування ==
Технологія керування доступом на основі ролей досить гнучка і сильна, щоб змоделювати як [[вибіркове керування доступом]] (DAC)<ref>''Ravi Sandhu, Qamar Munawer'' (October 1998). "How to do discretionary access control using roles". ''3rd ACM Workshop on Role-Based Access Control'': 47—54.</ref>, так і [[мандатне керування доступом]] (MAC)<ref>''Sylvia Osborn, Ravi Sandhu, Qamar Munawer''(2000). "Configuring role-based access control to enforce mandatory and discretionary access control policies". ''ACM Transactions on Information and System Security (TISSEC)'': 85—106.</ref>.

До розробки RBAC, єдиними відомими моделями управління доступом були MAC і DAC: якщо модель була MAC, то вона була DAC, і навпаки. Дослідження в 90-х показали, що RBAC не потрапляє ні в ту, ні в іншу категорію.

Ролі створюються всередині організації для різних робочих функцій. Певним ролям присвоюються повноваження (permissions) для виконання тих чи інших операцій. Штатним співробітникам (або іншим користувачам системи) призначаються фіксовані ролі, через які вони отримують відповідні привілеї для виконання фіксованих системних функцій. На відміну від управління доступом на основі контексту ({{lang-en|Context-based access control}}, CBAC), реалізація RBAC в чистому вигляді не враховує поточну ситуацію (таку як, наприклад, звідки було встановлено з'єднання).

RBAC відрізняється від списків контролю доступу ({{lang-en|Access control lists}}, ACL), які використовуються в традиційних вибіркових системах управління доступом, тим, що може давати привілеї на складні операції зі складовими даними, а не тільки на атомарні операції з низькорівневими об'єктами даних. Наприклад, список контролю доступу може надати або позбавити права запису у якомусь системному файлу, але він не може обмежити те, яким чином цей файл може бути змінений. Система, заснована на RBAC, дозволяє створити таку операцію як відкриття «кредиту» у фінансовому додатку або заповнення запису «тест на рівень цукру в крові» в медичному додатку.

Концепції ієрархії ролей і обмежень дозволяють створити або змоделювати контроль доступу на основі решітки ({{lang-en|Lattice-based access control}}, LBAC) засобами RBAC. Таким чином, RBAC може бути основою і розширенням LBAC.

В організаціях з різнорідною IT-інфраструктурою, що містять десятки і сотні систем і додатків, допомагає використання ієрархії ролей і успадкування привілеїв. Без цього використання RBAC стає вкрай заплутаним. У статті «Додаткові ролі: практичний підхід до обслуговування користувачів підприємства» обговорюються стратегії, альтернативні великим масштабом присвоєння привілеїв користувачам<ref>{{Cite web|url=https://hitachi-id.com/documents/beyond-roles-a-practical-approach-to-enterprise-user-provisioning.php|title=Beyond Roles: A Practical Approach to Enterprise IAM|last=Systems|first=Hitachi ID|website=hitachi-id.com|language=en|accessdate=2018-04-07|archive-date=8 Квітня 2018|archive-url=https://web.archive.org/web/20180408205807/https://hitachi-id.com/documents/beyond-roles-a-practical-approach-to-enterprise-user-provisioning.php}}</ref>.

Сучасні системи розширюють стару модель [[Національний інститут стандартів і технології|NIST]]<ref>''Sandhu R., Ferraiolo D.F. and Kuhn D.R.'' (July 2000). "The NIST Model for Role Based Access Control: Toward a Unified Standard". ''5th ACM Workshop Role-Based Access Control'': 47—63.</ref> обмеженнями RBAC для розгортання на великих підприємствах.

Для великих систем з сотнями ролей, тисячами користувачів і мільйонами дозволів, управління ролями, користувачами, дозволами і їх взаємозв'язками є складним завданням, яке неможливо здійснити малою групою адміністраторів безпеки. Привабливою можливістю є використання самої RBAC для сприяння децентралізованому управлінню RBAC.

RBAC широко використовується для управління призначеними для користувача привілеями в межах єдиної системи або єдиного додатку. Список таких систем включає в себе [[Microsoft Active Directory]], [[SELinux]], [[FreeBSD]], [[Solaris (операційна система)|Solaris]], [[Система керування базами даних|СУБД]] [[Oracle Database|Oracle]], [[PostgreSQL|PostgreSQL 8.1]], SAP R / 3, [[Lotus Notes / Domino|Lotus Notes]] і безліч інших.

== Примітки ==
<references />

== Література ==

* David., Ferraiolo,; Richard., Kuhn, D. (2007). ''Role-based access control'' (вид. 2nd ed). Boston: Artech House. [[ISBN]]&nbsp;[[Спеціальна:Джерела книг/9781596931138|9781596931138]]. [[Online Computer Library Center|OCLC]]&nbsp;427509709.

== Посилання ==

* [http://csrc.nist.gov/rbac/rbac-faq.html FAQ on RBAC models and standards] {{Webarchive|url=https://web.archive.org/web/20110706215158/http://csrc.nist.gov/rbac/rbac-faq.html |date=6 Липня 2011 }} 
* [http://csrc.nist.gov/rbac/ Role Based Access Controls at NIST] {{Webarchive|url=https://web.archive.org/web/20081021070522/http://csrc.nist.gov/rbac/ |date=21 Жовтня 2008 }} 
* [http://docs.oasis-open.org/xacml/2.0/access_control-xacml-2.0-rbac-profile1-spec-os.pdf XACML core and hierarchical role based access control profile] {{Webarchive|url=https://web.archive.org/web/20180324143335/http://docs.oasis-open.org/xacml/2.0/access_control-xacml-2.0-rbac-profile1-spec-os.pdf |date=24 Березня 2018 }} — OASIS XACML-стандарт
* [http://habrahabr.ru/company/custis/blog/248649/ Подходы к контролю доступа: RBAC vs. ABAC] {{Webarchive|url=https://web.archive.org/web/20160807052314/https://habrahabr.ru/company/custis/blog/248649/ |date=7 Серпня 2016 }}
{{Кібербезпека}}
[[Категорія:Контроль доступу]]
[[Категорія:Інформаційна безпека]]