RBAC — Contrôle d'Accès Basé sur les Rôles

Le contrôle d’accès basé sur les rôles (RBAC) est le modèle d’autorisation le plus largement déployé en entreprise. La norme NIST RBAC (ANSI INCITS 359-2004) définit un modèle de référence avec quatre niveaux de sophistication croissante.

La Norme NIST RBAC

Modèle de Référence NIST

Le modèle NIST RBAC définit trois composants principaux :

┌──────────────────────────────────────────────────────────┐
│                     NIST RBAC MODEL                        │
│                                                            │
│  ┌─────────┐    ┌──────────┐    ┌───────────┐           │
│  │  Users   │───>│  Roles   │───>│Permissions│           │
│  └─────────┘    └──────────┘    └───────────┘           │
│       │              │                                      │
│       │              │                                      │
│       │     ┌────────┴────────┐                             │
│       │     │   Sessions      │                             │
│       │     │  (Activations)  │                             │
│       │     └─────────────────┘                             │
│                                                            │
│  Règles :                                                   │
│  - Un utilisateur peut avoir plusieurs rôles               │
│  - Un rôle peut avoir plusieurs permissions                │
│  - Un utilisateur active des rôles dans une session        │
│  - Les permissions dérivent des rôles activés              │
└────────────────────────────────────────────────────────────┘

Les Quatre Niveaux RBAC

Niveau 1 — RBAC Plat (Flat RBAC)

Le niveau de base. Les utilisateurs se voient attribuer des rôles, et les rôles se voient attribuer des permissions.

Rôles : [Vendeur, Manager, Administrateur, Auditeur]
Utilisateur Jean : Vendeur, Manager
Utilisateur Marie : Administrateur
Permissions :
  Vendeur → lire:fiche_client, écrire:commande
  Manager → tout lire, approuver:commande
  Administrateur → tout lire, tout écrire, gérer:utilisateurs
  Auditeur → lire:tous (lecture seule)

Niveau 2 — RBAC Hiérarchique (Hierarchical RBAC)

Ajoute l’héritage de rôles. Si le rôle “Manager” hérite du rôle “Vendeur”, alors les permissions de “Vendeur” sont automatiquement incluses dans “Manager”.

         Administrateur (toutes permissions)
               │
            Manager (lire tout, approuver)
               │
            Vendeur (lire client, écrire commande)

Niveau 3 — RBAC Contraint (Constrained RBAC)

Ajoute la Séparation des Devoirs (SoD) et les contraintes :

• SoD statique (SSD) : Un utilisateur ne peut pas se voir attribuer des rôles en conflit
  • Exemple : Un utilisateur ne peut pas être à la fois “Créateur de commande” et “Approbateur de commande”
• SoD dynamique (DSD) : Un utilisateur peut avoir des rôles en conflit mais ne peut pas les activer simultanément dans la même session
  • Exemple : Un utilisateur peut avoir les deux rôles mais doit choisir lequel utiliser pour chaque session

Niveau 4 — RBAC Symétrique (Symmetric RBAC)

Ajoute la révision et la vérification des rôles :

• Capacité de lister tous les utilisateurs d’un rôle
• Capacité de lister tous les rôles d’un utilisateur
• Révision périodique des affectations de rôles

Ingénierie des Rôles

Approche Descendante (Top-Down)

L’approche descendante commence par les structures organisationnelles et métier :

Structure Organisationnelle → Fonctions Métier → Rôles → Permissions
       │                           │              │         │
   Départements              Tâches métier    Rôles     Droits
   (Ventes, RH,               (Vendre,          nommés    spécifiques
    Finance, IT)               Recruter,         (Vendeur,  sur les
                                Payer,            RH,       ressources
                                Développer)       Manager)

Avantages : Aligné sur la structure métier, plus facile à expliquer aux auditeurs. Inconvénients : Peut manquer des permissions granulaires, risque de rôles trop larges.

Approche Ascendante (Bottom-Up)

L’approche ascendante commence par les permissions existantes et les regroupe en rôles :

Permissions Existantes → Regroupement → Rôles → Validation Métier
       │                      │            │         │
   Droits actuels        Clustering      Nouveaux   Vérification
   sur les systèmes      des permissions  rôles     par les métiers
   (Acquis, hérités,     similaires       proposés  (validation)
    accumulés)

Avantages : Basé sur les permissions réelles, peut révéler des schémas inattendus. Inconvénients : Peut perpétuer des accès excessifs (creep), difficile à expliquer.

Approche Par Data Mining

Utilisation d’algorithmes de role mining pour découvrir automatiquement les rôles :

Types de Rôles

Pièges du RBAC

Meilleures Pratiques RBAC

Points Clés à Retenir

• La norme NIST RBAC (ANSI INCITS 359-2004) définit quatre niveaux : plat (utilisateur→rôle→permission), hiérarchique (héritage de rôles), contraint (SoD statique et dynamique), et symétrique (révision et audit bidirectionnels)
• L’ingénierie des rôles peut être descendante (structure organisationnelle → rôles → permissions) ou ascendante (permissions existantes → regroupement → rôles) — l’approche par data mining (clustering, frequent itemset, NMF) automatise la découverte mais nécessite validation métier
• Les pièges courants du RBAC incluent l’explosion de rôles (>1000 rôles non gérables), les rôles orphelins (sans utilisateur), les rôles super-utilisateur (trop larges), la dérive des permissions, le chevauchement de rôles et les silos d’application
• Les meilleures pratiques incluent une gouvernance des rôles avec comité de validation mensuel, certification trimestrielle, hiérarchie limitée à 3-4 niveaux, documentation métier complète, moindre privilège, et SoD appliquée à la création des rôles
• Le RBAC est le modèle le plus adapté pour la plupart des déploiements d’entreprise — il offre le meilleur équilibre entre simplicité de gestion, auditabilité et passage à l’échelle