RBAC, ABAC eller PBAC

RBAC (Role-Based Access Control) Ger behörighet baserat på en användares roll i organisationen (till exempel administratör, lärare eller student).

• Enkel att förstå och administrera
• Passar bra för stabila och fasta organisationer
• Kan bli svårhanterlig om det krävs enormt många specialroller

ABAC (Attribute-Based Access Control) Ger behörighet dynamiskt baserat på attribut som vem användaren är, var hen befinner sig, klockslag och vilken fil som öppnas.

• Väldigt flexibel och exakt
• Klarar avancerade villkor (t.ex. "får endast läsa dokumentet på kontoret under arbetstid")
• Kan bli svår att sätta upp och kräver mer resurser

PBAC (Policy-Based Access Control) Samlar all logik för regler i centrala policyn som utvärderar både roller och attribut.

• Ger en central överblick över säkerhetsreglerna
• Lättare att följa upp för lagar och regler (compliance)
• Fungerar som ett övergripande paraply där ABAC och RBAC kan bakas in

Du kan likna RBAC vid en nyckel till ett kontor (alla med samma jobb får samma nyckel). ABAC är som en vakt vid dörren som kollar ditt ID, klockan och om du har rätt kläder på dig. PBAC är själva regelboken som vakten läser i.

Då jag själv använder Keycloak som IdP för mina egna applikationer brukar jag landa i PBAC fast med en liten vinkling mot RBAC för att förenkla viss hantering mot slutanvändare och administratörer. Kräver en del uppsättning av resurser och scope samt att man är ganska hårt beroende av Keycloak men ger därefter ganska stor flexibilitet.