Qu’est-ce que le RBAC ?

Qu’est-ce que le Role Based Access Control (RBAC)?

L’acronyme RBAC traduit littéralement par « contrôle des accès basé sur les rôles » fait référence à la méthode permettant de mettre en place la gestion des droits d’accès dans une entreprise. Avec cette méthode, les droits d’accès ne sont pas attribués au cas par cas en fonction d’un individu, mais sur la base de rôles RBAC. Ces rôles sont ensuite à leur tour définis en fonction du service, du poste, de l’emplacement et du centre de coûts de l’employé dans l’entreprise. Les rôles RBAC sont en général consignés et enregistrés dans une matrice RBAC.

Modèle Pyramidal

Une façon efficace d’attribuer des droits d’accès et d’enrichir la matrice RBAC est le modèle pyramidal. Au sommet de cette pyramide on retrouve l’entreprise, viennent ensuite le département, le poste et enfin tout en bas l’employé. La pyramide est donc enrichie et aux niveaux supérieurs (entreprise et site) se trouvent les droits d’accès s’appliquant à l’ensemble des employés de l’entreprise (notamment les droits de connexion, de traitement de texte, messagerie, etc). Cette section peut être complétée quasi immédiatement.

Puis, les droits d’accès sont définis par département/poste (par exemple, les droits d’accès aux partages des services et des applications métier). Il peut s’avérer très judicieux à ce niveau de recourir au classement des 50 combinaisons de services et de postes les plus fréquentes comme base de référence. Par ailleurs, le système RH constitue une base idéale afin de déterminer ces différentes combinaisons. Il s’agit de l’étape préalable à toute constitution de « modèle des rôles » pour une entreprise.

Droits d’accès personnalisés

Une attribution personnalisée et donc affinée des droits d’accès peut être réalisée ad-hoc par un responsable, lequel est en définitive le mieux placé pour effectuer ces attributions de droits d’accès au sein de l’entreprise, notamment en utilisant un workflow. Les workflows de validation sont des notifications e-mail et/ou des formulaires web qui permettent de demander au responsable concerné quels droits d’accès et quelles applications doivent être attribués à tel ou tel employé. En procédant ainsi, le logiciel RBAC peut alors enregistrer les choix du responsable, sachant que ces informations pourront être utilisées par la suite pour définir la matrice RBAC, le but ultime étant de compléter au maximum la matrice RBAC.