Was ist RBAC?

Die rollenbasierte Zugriffskontrolle (RBAC) ist ein Zugriffskontrollmodell, bei dem Berechtigungen nicht auf der Grundlage der individuellen Identität eines Benutzers, sondern anhand der ihm zugewiesenen Rolle erteilt werden. Administratoren definieren Rollen, die die für eine bestimmte Funktion erforderlichen Berechtigungen bündeln, und weisen den Benutzern diese Rollen zu – wodurch die Vergabe, Überwachung und Entziehung von Zugriffsrechten zentralisiert und vereinfacht wird.

Die wichtigsten Erkenntnisse

• Bei RBAC werden Berechtigungen nach Rolle vergeben, nicht nach der Identität einzelner Benutzer.
• Rollen bündeln die Berechtigungen, die eine bestimmte Funktion benötigt, zu einer Einheit.
• Zentralisierte Rollen vereinfachen die Vergabe, Überprüfung und Entziehung von Zugriffsrechten.
• Das NIST hat vier standardisierte RBAC-Ebenen festgelegt: flach, hierarchisch, eingeschränkt, symmetrisch.
• Versa Director und Analytics setzen RBAC um, einschließlich ressourcenbezogener Tags mit begrenzter Gültigkeit.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · RBAC & Versa · Häufig gestellte Fragen

Warum ist RBAC wichtig?

Ohne RBAC erteilen Administratoren jedem Benutzer einzeln Berechtigungen, was zu Unstimmigkeiten führt, wenn Mitarbeiter die Stelle wechseln oder das Unternehmen verlassen – die Zugriffsrechte häufen sich an, da das Entziehen dieser Rechte leicht vergessen wird. RBAC verknüpft Berechtigungen mit der beruflichen Funktion statt mit der Identität, sodass das Einarbeiten neuer Mitarbeiter und das Ausscheiden von Mitarbeitern lediglich eine Frage der Zuweisung oder Entfernung einer Rolle ist, anstatt jede Berechtigung erneut prüfen zu müssen.

Diese Struktur unterstützt das Prinzip der geringsten Berechtigungen und die Aufgabentrennung: Eine Rolle verfügt nur über die Berechtigungen, die für ihre Funktion erforderlich sind, und Rollen, die niemals von derselben Person innegehabt werden sollten, können sich gegenseitig ausschließen. Außerdem vereinfacht sie die Compliance – Prüfer überprüfen eine kleine Anzahl von Rollen, anstatt Tausende einzelner Berechtigungen nachzuverfolgen – und nach eigenen Schätzungen des NIST hat die Formalisierung von RBAC der Industrie durch reduzierte Kosten für das Zugriffsmanagement über eine Milliarde Dollar eingespart. In mandantenfähigen Systemen verhindert RBAC zudem Scope Creep: Ein Betreiber, der die Geräte einer Region verwaltet, sollte keinen Einfluss auf die Sicherheitsrichtlinien eines anderen Mandanten haben.

Was ist RBAC?

RBAC basiert auf drei Elementen: Benutzern, Rollen und Berechtigungen. Berechtigungen werden niemals direkt einem Benutzer zugewiesen – sie werden einer Rolle zugewiesen, und ein Benutzer erhält diese Berechtigungen, indem er der Rolle zugeordnet wird. Ein Benutzer kann eine oder mehrere Rollen innehaben, und sein tatsächlicher Zugriff entspricht der Vereinigung der durch diese Rollen gewährten Berechtigungen.

Genau darin liegt der Vorteil: Um die Funktionen einer Stelle zu ändern, muss lediglich eine Rollendefinition angepasst werden, anstatt jeden einzelnen Nutzer ausfindig machen zu müssen, der diese Rolle innehat. RBAC unterscheidet sich von einer Zugriffskontrollliste (ACL), die einzelnen Nutzern oder Ressourcen direkt Berechtigungen erteilt, sowie von der attributbasierten Zugriffskontrolle (ABAC), die dynamische Attribute – wie Zeit, Ort und Gerätestatus – anstelle einer festen Rolle auswertet.

Arten von RBAC

Das formale RBAC-Modell des NIST, standardisiert als ANSI/INCITS 359, definiert das Konzept als eine Familie von Ebenen mit zunehmender Funktionsfähigkeit. Flaches RBAC bildet die Basis: Benutzern werden Rollen zugewiesen, und Rollen werden Berechtigungen zugewiesen, ohne weitere Struktur. Hierarchisches RBAC fügt die Rollenvererbung hinzu, sodass eine übergeordnete Rolle automatisch die Berechtigungen der ihr untergeordneten Rollen umfasst – eine Administratorrolle erbt alles, was ein Operator tun kann, und noch mehr. Das eingeschränkte RBAC fügt Regeln zur Aufgabentrennung (Separation of Duties, SoD) hinzu, wodurch bestimmte Rollen sich gegenseitig ausschließen, sodass kein einzelner Benutzer beide Teile eines sensiblen Arbeitsablaufs übernehmen kann, wie beispielsweise das Erstellen und Genehmigen derselben Änderung. Das symmetrische RBAC vervollständigt die Familie durch die Einführung einer Überprüfung der Berechtigungen und Rollen, sodass Administratoren die einer Rolle zugewiesenen Berechtigungen ebenso leicht einsehen – und widerrufen – können wie die ihr zugewiesenen Benutzer.

Die meisten Produktionssysteme vereinen Hierarchie und Einschränkungen in einem Rollensatz.

RBAC & Versa

Versa Director stellt RBAC über integrierte Anbieter- und Mandantenrollen bereit, die automatisch erstellt werden, sobald eine Organisation hinzugefügt wird – Anbieterrollen wie „ProviderDataCenterAdmin“ und Mandantenrollen wie „TenantSuperAdmin“, „TenantSecurityAdmin“ und „TenantOperator“, die jeweils einer definierten Gruppe verwaltbarer Ressourcen zugeordnet sind. Administratoren können zudem benutzerdefinierte Rollen aus einzelnen Berechtigungen zusammenstellen und den Geltungsbereich einer Rolle mithilfe von Ressourcen-Tags einschränken, wodurch diese auf eine Teilmenge von Geräten oder Vorlagen beschränkt wird, beispielsweise auf die Infrastruktur einer bestimmten Region. Den vollständigen Konfigurationsprozess finden Sie unter „AAA konfigurieren “.

RBAC wird auch in „ Versa Analytics“ übernommen: Bei der Anmeldung auf der Registerkarte „Analytics“ wird die „Director“-Rolle eines Benutzers einer gleichnamigen Analytics-RBAC-Rolle zugeordnet, die Administratoren für den Zugriff auf Insights aktivieren – siehe „Analytics Insights anzeigen“. Director stellt Rollen und Berechtigungen zudem über seine REST-API bereit, die in der migrierten NMS-API-Referenz dokumentiert ist.

Häufig gestellte Fragen

Was ist der Unterschied zwischen RBAC und einer Zugriffskontrollliste (ACL)?

Bei einem ACL werden Berechtigungen direkt einzelnen Benutzern oder Ressourcen zugewiesen, sodass die Verwaltung der Zugriffsrechte bedeutet, dass viele Einträge nacheinander bearbeitet werden müssen. Bei RBAC werden Berechtigungen Rollen zugewiesen und Benutzer diesen Rollen zugeordnet, sodass durch eine einzige Änderung an einer Rolle die Zugriffsrechte für jeden Benutzer, der diese Rolle innehat, aktualisiert werden.

Was ist der Unterschied zwischen RBAC und ABAC?

Bei der RBAC-Zugriffskontrolle wird der Zugriff auf der Grundlage einer festgelegten, im Voraus zugewiesenen Rolle gewährt. Die attributbasierte Zugriffskontrolle (ABAC) wertet zum Zeitpunkt des Zugriffs dynamische Attribute – Zeit, Ort, Gerätestatus – aus. Viele moderne Systeme kombinieren beides: Rollen für Basisberechtigungen und Attribute für kontextbezogene Einschränkungen.

Was sind die Kernkomponenten von RBAC?

Benutzer, Rollen und Berechtigungen. Berechtigungen sind an Rollen gebunden, nicht an Benutzer; Benutzern werden eine oder mehrere Rollen zugewiesen; der tatsächliche Zugriff entspricht der Vereinigung aller innegehabten Rollen. Das formale Modell des NIST berücksichtigt zudem Sitzungen, wodurch ein Benutzer jeweils nur eine Teilmenge der ihm zugewiesenen Rollen aktivieren kann.

Unterstützt RBAC die Aufgabentrennung?

Ja – „Constrained RBAC“, eine nach NIST-Standard festgelegte Stufe, definiert sich gegenseitig ausschließende Rollen, sodass kein einzelner Benutzer beide Teile eines sensiblen Arbeitsablaufs übernehmen kann, wie beispielsweise das Erstellen und Genehmigen derselben Änderung. Dadurch wird die Aufgabentrennung strukturell durchgesetzt und nicht durch manuelle Überprüfung.

Wie setzt der „ Versa -Direktor“ RBAC um?

Director stellt Standardrollen für Anbieter und Mandanten bereit, die bei jeder neuen Organisation automatisch erstellt werden, und ermöglicht es Administratoren, benutzerdefinierte Rollen aus einzelnen Berechtigungen zusammenzustellen. Mithilfe von Ressourcen-Tags lässt sich eine Rolle auf bestimmte Geräte oder Vorlagen beschränken, und dieselbe Zuordnung erstreckt sich auch auf „ Versa Analytics“, um den Zugriff für die Überwachbarkeit zu ermöglichen.

Mehr zum Thema RBAC

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit RBAC beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.