RBAC (Role-Based Access Control)

Définition

Le RBAC (Role-Based Access Control — Contrôle d'Accès Basé sur les Rôles) est le modèle de contrôle d'accès le plus répandu dans les systèmes d'information. Il organise les permissions autour de rôles fonctionnels plutôt que de les attribuer directement à des utilisateurs individuels, simplifiant considérablement la gestion des droits dans les grandes organisations. Le modèle RBAC repose sur trois entités fondamentales : les utilisateurs (subjects), les rôles (abstractions de fonctions métier), et les permissions (droits sur des ressources). L'association utilisateur-rôle est administrative (un RH peut attribuer un rôle "Développeur Back-end" à un nouvel employé), et l'association rôle-permission est technique (le rôle "Développeur Back-end" donne accès aux repos Git, aux environnements de développement, et aux outils de monitoring). Un utilisateur acquiert les permissions de tous ses rôles. RBAC simplifie l'administration : plutôt que de gérer des milliers de permissions individuelles, les administrateurs gèrent un nombre limité de rôles bien définis. L'onboarding d'un nouvel employé se réduit à l'attribution des rôles correspondant à sa fonction. Les revues d'accès portent sur les affectations rôle-utilisateur. La révocation lors d'un départ consiste à retirer tous les rôles de l'utilisateur. Les variantes du RBAC incluent : RBAC0 (modèle de base — utilisateurs, rôles, permissions), RBAC1 (avec héritage de rôles — un rôle "Développeur Senior" hérite des permissions de "Développeur"), RBAC2 (avec contraintes — interdire les combinaisons de rôles conflictuels pour la SoD), et RBAC3 (combinaison de RBAC1 et RBAC2, le plus complet). Les implémentations modernes de RBAC incluent les IAM roles AWS (policies JSON attachées aux rôles, assumables par les services et utilisateurs), Azure RBAC (roles prédéfinis comme Owner/Contributor/Reader et rôles personnalisés), Kubernetes RBAC (roles et clusterroles avec verbs sur les resources), les frameworks applicatifs (Spring Security RBAC, Django Groups, Keycloak Realm Roles), et les bases de données (GRANT/REVOKE sur des rôles dans PostgreSQL, SQL Server, Oracle). Les limites du RBAC simple sont adressées par l'ABAC (Attribute-Based Access Control) qui permet des politiques d'accès plus contextuelles : "ce médecin peut accéder au dossier de ce patient uniquement s'il est son médecin traitant et si l'accès se fait depuis le réseau interne pendant les heures ouvrables".