¿Qué es el RBAC?

El control de acceso basado en roles (RBAC) es un modelo de control de acceso que concede permisos en función del rol asignado a un usuario, en lugar de su identidad individual. Los administradores definen los roles que agrupan los privilegios necesarios para cada función laboral y, a continuación, asignan a los usuarios a dichos roles, lo que permite centralizar y simplificar la forma en que se concede, audita y revoca el acceso.

Puntos clave

• El modelo RBAC concede permisos por rol, no por la identidad de cada usuario.
• Los roles agrupan en una sola unidad los privilegios que requiere un puesto de trabajo.
• Las funciones centralizadas simplifican la concesión, la auditoría y la revocación del acceso.
• El NIST estableció cuatro niveles estandarizados de RBAC: plano, jerárquico, restringido y simétrico.
• Versa Director y Analytics aplican el modelo RBAC, incluidas las etiquetas de recursos con ámbito específico.

En esta página: Por qué es importante · Cómo funciona · Tipos · RBAC y Versa · Preguntas frecuentes

¿Por qué es importante el RBAC?

Sin el modelo RBAC, los administradores conceden permisos a cada usuario de forma individual, lo que provoca una falta de sincronización a medida que los empleados cambian de puesto o abandonan la empresa; los permisos se acumulan porque es fácil olvidarse de revocarlos. El modelo RBAC vincula los permisos a la función del puesto en lugar de a la identidad, por lo que la incorporación y la salida de empleados se reducen a asignar o eliminar un rol, en lugar de tener que volver a auditar cada permiso.

Esa estructura respalda el principio del privilegio mínimo y la separación de funciones: un rol solo cuenta con los permisos que su función requiere, y los roles que nunca debería ostentar la misma persona pueden configurarse como mutuamente excluyentes. Además, simplifica el cumplimiento normativo —los auditores revisan un pequeño conjunto de roles en lugar de rastrear miles de concesiones individuales— y la propia investigación del NIST estimó que la formalización del RBAC supuso un ahorro para el sector de más de mil millones de dólares gracias a la reducción de los costes de gestión de accesos. En los sistemas multitenant, el RBAC también evita la desviación del alcance: un operador que gestione los dispositivos de una región no debería interferir en la política de seguridad de otro tenant.

¿Qué es el RBAC?

El modelo RBAC se basa en tres elementos: usuarios, roles y permisos. Los permisos nunca se asignan directamente a un usuario, sino que se asignan a un rol, y el usuario obtiene dichos permisos al ser asignado a ese rol. Un usuario puede tener uno o más roles, y su acceso efectivo es la unión de lo que conceden dichos roles.

Esta indirecta es precisamente la clave: modificar las funciones de un puesto de trabajo implica editar la definición de un rol, en lugar de tener que localizar a todos los usuarios que lo ocupan. El RBAC se diferencia de una lista de control de acceso (ACL), que concede permisos directamente a usuarios o recursos individuales, y del control de acceso basado en atributos (ABAC), que evalúa atributos dinámicos —hora, ubicación, estado del dispositivo— en lugar de un rol fijo.

Tipos de RBAC

El modelo RBAC formal del NIST, normalizado como ANSI/INCITS 359, define el concepto como una familia de niveles con capacidades cada vez mayores. El RBAC plano es el punto de partida: a los usuarios se les asignan roles y a los roles se les asignan permisos, sin ninguna estructura adicional. El RBAC jerárquico añade la herencia de roles, de modo que un rol de nivel superior incluye automáticamente los permisos de los roles que se encuentran por debajo de él; por ejemplo, un rol de administrador hereda todo lo que puede hacer un operador, además de otras funciones. El RBAC restringido añade reglas de separación de funciones (SoD), lo que hace que determinados roles sean mutuamente excluyentes, de modo que ningún usuario pueda encargarse de ambas partes de un flujo de trabajo sensible, como crear y aprobar el mismo cambio. El RBAC simétrico completa la familia al añadir la revisión de permisos y roles, de modo que los administradores pueden ver —y revocar— los permisos asignados a un rol con la misma facilidad que los usuarios asignados a él.

La mayoría de los sistemas de producción combinan jerarquía y restricciones en un único conjunto de funciones.

RBAC y Versa

Versa Director implementa el modelo RBAC a través de roles de proveedor y de cliente integrados que se crean automáticamente cada vez que se añade una organización: roles de proveedor como «ProviderDataCenterAdmin» y roles de cliente como «TenantSuperAdmin», «TenantSecurityAdmin» y «TenantOperator», cada uno de ellos asociado a un conjunto definido de recursos gestionables. Los administradores también pueden crear roles personalizados a partir de privilegios individuales y limitar el alcance de un rol mediante etiquetas de recursos, lo que restringe su ámbito a un subconjunto de dispositivos o plantillas, como la infraestructura de una región. Consulte «Configurar AAA» para conocer el proceso de configuración completo.

El modelo RBAC también se aplica a Analytics de Versa : al iniciar sesión en la pestaña «Analytics», el rol de «Director» de un usuario se asigna a un rol RBAC de Analytics con el mismo nombre, que los administradores habilitan para permitir el acceso a Insights; véase «Ver Analytics Insights». Director también expone los roles y privilegios a través de su API REST, documentada en la referencia de la API de NMS migrada.

Preguntas frecuentes

¿Cuál es la diferencia entre el modelo RBAC y una lista de control de acceso (ACL)?

Un ACL asigna permisos directamente a usuarios o recursos concretos, por lo que gestionar el acceso implica editar muchas entradas una por una. El RBAC asigna permisos a roles y a los usuarios asociados a dichos roles, de modo que con una sola modificación del rol se actualiza el acceso de todos los usuarios que lo tienen asignado.

¿Cuál es la diferencia entre RBAC y ABAC?

El modelo RBAC concede acceso en función de un rol fijo asignado previamente. El control de acceso basado en atributos (ABAC) evalúa atributos dinámicos —hora, ubicación, estado del dispositivo— en el momento del acceso. Muchos sistemas modernos combinan ambos: roles para los permisos básicos y atributos para las restricciones contextuales.

¿Cuáles son los componentes fundamentales del RBAC?

Usuarios, roles y permisos. Los permisos se asocian a los roles, no a los usuarios; a los usuarios se les asignan uno o más roles; el acceso efectivo es la unión de todos los roles que posee el usuario. El modelo formal del NIST también incluye las sesiones, lo que permite a un usuario activar solo un subconjunto de los roles asignados en cada momento.

¿Admite el modelo RBAC la separación de funciones?

Sí: el modelo RBAC restringido, un nivel normalizado por el NIST, define funciones mutuamente excluyentes, de modo que ningún usuario pueda asumir ambas partes de un flujo de trabajo sensible, como la redacción y la aprobación del mismo cambio. Esto garantiza la separación de funciones de forma estructural, y no mediante una revisión manual.

¿Cómo implementa el director de « Versa » el modelo RBAC?

Director incluye roles predeterminados de proveedor y arrendatario, que se crean automáticamente con cada nueva organización, y permite a los administradores crear roles personalizados a partir de privilegios individuales. Las etiquetas de recursos limitan el alcance de un rol a dispositivos o plantillas específicos, y esta misma asignación se extiende a Versa Analytics para el acceso a la observabilidad.

Más información sobre RBAC

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre el RBAC, te conviene echar un vistazo a lo siguiente.