RBAC vs ABAC: Quale scegliere?

Controllare l'accesso ai dati, alle applicazioni e ad altre risorse IT di un'organizzazione è un compito vitale e complesso. È essenziale garantire che ogni utente possa accedere alle risorse di cui ha bisogno per svolgere il proprio lavoro, ma che nessuno possa accedere a dati o sistemi per i quali non abbia una legittima necessità.

Questo articolo esplora due modelli popolari per il controllo degli accessi, il controllo degli accessi basato sui ruoli (RBAC) e il controllo degli accessi basato sugli attributi (ABAC) e offre una guida per scegliere l'opzione più appropriata per la tua organizzazione.

Cos'è il Controllo degli Accessi Basato sui Ruoli?

Nel modello RBAC, ai dipendenti e ad altri utenti vengono concessi diritti di accesso in base al ruolo o ai ruoli che ricoprono nell'organizzazione. Ovvero, gli amministratori definiscono un insieme di ruoli, concedono i permessi di accesso appropriati a ciascuno di questi ruoli e poi assegnano ad ogni utente uno o più ruoli — i ruoli assegnati a una persona determinano i loro diritti di accesso alle risorse IT.

Esempi di RBAC

Ecco alcuni esempi di ruoli e alcuni dei diritti di accesso che potrebbero essere concessi:

• Chief Technology Officer — Accedi a tutti i server dell'azienda
• Ingegnere del software — Accedi a server di applicazioni specifici
• Tecnico helpdesk — Reimposta le password degli utenti e sblocca gli account utente

Vantaggi del RBAC

L'implementazione del RBAC semplifica la gestione degli accessi. Quando un nuovo dipendente entra nell'organizzazione, gli amministratori non devono concedergli un'intera serie di permessi uno per uno; possono semplicemente assegnare al nuovo assunto i ruoli pertinenti e questi avrà immediatamente tutti i diritti di accesso correlati. Allo stesso modo, quando un dipendente cambia team o reparto, concedergli i nuovi diritti di accesso appropriati (e, cosa importante, rimuovere quelli di cui non ha più bisogno) è semplice come cambiare i suoi incarichi di ruolo.

Molti sistemi aziendali offrono il controllo degli accessi basato sui ruoli. Ecco una panoramica di come Microsoft Entra (precedentemente Azure), Active Directory e SharePoint utilizzano RBAC.

RBAC in Microsoft Entra

Il controllo degli accessi basato sui ruoli in Microsoft Entra aiuta gli amministratori a gestire l'accesso alle risorse cloud. Ad esempio, puoi utilizzare RBAC per:

• Consenti a un gruppo di utenti di gestire le reti virtuali e a un altro gruppo di gestire le macchine virtuali.
• Potenzia gli amministratori di database nella gestione dei database SQL.
• Consenti a un gruppo designato di utenti di gestire determinati siti web.
• Consenti a un'applicazione di accedere a tutte le risorse in un gruppo di risorse.

RBAC in Active Directory

In Active Directory, i gruppi di sicurezza funzionano come ruoli. Ogni gruppo ha accesso a determinate risorse e tutti i membri del gruppo ereditano tali diritti. AD include un insieme di gruppi di sicurezza predefiniti e gli amministratori possono creare gruppi aggiuntivi.

Ecco alcuni dei gruppi di sicurezza integrati e i loro permessi:

• Operatori di backup — I membri possono ripristinare e sostituire file su un computer indipendentemente dai permessi necessari per accedere a tali file.
• Utenti del Desktop Remoto — I membri possono connettersi a un server RD Session Host in remoto.
• Domain Admins — I membri hanno ampi diritti in un particolare dominio AD. Ad esempio, possono aggiornare l'appartenenza di tutti i gruppi e controllare l'accesso ai controller di dominio.
• Amministratori dell'azienda — I membri possono apportare modifiche a livello di foresta, come l'aggiunta di domini secondari.
• Schema Admins — Gli Schema Admins possono modificare lo schema di Active Directory.

RBAC in SharePoint

SharePoint ha anche ruoli predefiniti con permessi che i membri ereditano. Questi ruoli includono:

• Utenti finali: I membri possono lavorare con i contenuti negli elementi delle liste e nelle librerie di documenti ma non possono configurare o gestire i siti.
• Utenti Esperti: I membri possono interagire con determinati componenti del sito, come elenchi, pagine web, librerie, ecc.
• Proprietari del sito: I membri hanno il controllo completo del sito SharePoint, inclusa la creazione di sottositi, la progettazione e la gestione dei permessi.
• Amministratori della raccolta siti: I membri hanno il controllo sui siti in una raccolta di siti.
• SharePoint Farm Admins: Questi amministratori di massimo livello hanno il controllo completo sulla farm di SharePoint, come la manutenzione, lo storage, le applicazioni web e le raccolte di siti.

RBAC in Exchange

Anche Microsoft Exchange segue un modello RBAC. Alcuni dei ruoli di gestione predefiniti sono i seguenti:

• Gestione dei destinatari — I membri possono creare o aggiornare i destinatari di Exchange Server all'interno dell'organizzazione di Exchange Server.
• Helpdesk — I membri possono visualizzare e aggiornare attributi utente come indirizzi, numeri di telefono e nomi visualizzati.
• Gestione del server — I membri possono configurare funzionalità specifiche del server, come certificati, protocolli di accesso client e directory virtuali.
• Gestione dell'organizzazione — I membri hanno accesso di massimo livello all'organizzazione del server Exchange, il che significa che possono eseguire quasi tutti i compiti per un oggetto Exchange.
• Gestione dell'Igiene — I membri possono configurare funzionalità anti-spam e anti-malware in Exchange.

Cos'è il Controllo degli Accessi basato sugli Attributi?

ABAC concede privilegi di accesso in base agli attributi di un utente, al posto di o in aggiunta ai loro ruoli. Esempi di attributi includono:

• Attributi dell'utente: Titolo lavorativo, livello di anzianità, dipartimento, ruolo lavorativo
• Attributi della risorsa: Tipo di file, proprietario del file, livello di sensibilità del file
• Ambiente: Rete, geolocalizzazione, data, ora del giorno

Ecco come funziona:

• Gli amministratori definiscono politiche che specificano quale combinazione di attributi è necessaria per eseguire un'azione su una risorsa.
• Quando un utente richiede l'accesso a una risorsa, ABAC verifica gli attributi dell'utente. Se corrispondono alle politiche definite, l'accesso viene concesso; altrimenti, la richiesta viene negata.

Esempi di ABAC

Ecco due esempi di politiche ABAC:

• Per accedere alle informazioni sulla busta paga, l'utente deve essere un membro del dipartimento HR. Inoltre, la richiesta di accesso deve essere effettuata durante l'orario lavorativo normale, e l'utente può accedere solo ai dati relativi alla propria filiale dell'azienda.
• Per accedere ai potenziali clienti e ai relativi dati sensibili, l'utente deve essere un rappresentante di vendita e trovarsi nella regione degli Stati Uniti.

Vantaggi dell'ABAC

Utilizzare attributi anziché ruoli consente un approccio più granulare al controllo degli accessi. Tuttavia, ABAC può risultare più complicato di RBAC.

ABAC in Microsoft Entra

Come abbiamo visto, Microsoft Entra consente l'assegnazione di permessi basati sui ruoli. Ma permette anche agli amministratori di aggiungere condizioni per determinate azioni, il che illustra come l'ABAC possa essere considerato un'estensione dell'RBAC. Ad esempio, è possibile aggiungere una condizione affinché un utente possa leggere un certo oggetto, l'utente deve avere un determinato ruolo e l'oggetto deve avere un tag metadata specifico.

Controllo degli accessi basato sugli attributi vs Controllo degli accessi basato sui ruoli: Un confronto

Le tabelle sottostanti mostrano i pro e i contro sia del controllo dell'accesso basato sui ruoli (RBAC) che del controllo dell'accesso basato sugli attributi (ABAC):

RBAC vs ABAC: Quale scegliere?

La scelta tra RBAC e ABAC richiede la comprensione della struttura, del budget, delle dimensioni e dei requisiti di sicurezza della propria organizzazione. In alcuni scenari, ABAC risulta essere il vincitore e in altri, è meglio utilizzare RBAC.

Scegli RBAC quando:

• Avere un'organizzazione di piccole o medie dimensioni
• Non aspettarti un enorme afflusso di nuovi utenti
• Avere gruppi di utenti ben definiti
• Siete a corto di budget, risorse o tempo

Scegliete ABAC quando:

• Avere un'organizzazione di grandi dimensioni
• Aspettatevi un significativo aumento della vostra base di utenti
• Avere un budget e delle risorse sufficienti
• Vuoi una politica di controllo degli accessi altamente personalizzabile e flessibile

Controllo degli accessi tramite Netwrix Directory Manager

Netwrix Directory Manager è una solida soluzione di gestione delle identità e degli accessi (IAM) che segue il modello RBAC. Include i seguenti ruoli predefiniti:

• Amministratore — Può eseguire tutte le funzioni di Netwrix Directory Manager su un archivio di identità
• Helpdesk — Può aggiornare le informazioni della directory, reimpostare le password degli account e sbloccare gli account per conto di altri utenti
• Utente — Può creare gruppi, gestire i propri gruppi e gestire il proprio profilo di Directory Management e password

Puoi creare ruoli aggiuntivi e assegnare loro i permessi appropriati. Ad esempio, puoi creare ruoli per consentire ai membri del ruolo di:

• Crea e gestisci gruppi
• Gestisci i profili utente
• Gestisci i lavori pianificati

Politiche in Netwrix Directory Manager

Le policy di Netwrix Directory Manager affinano e rafforzano l'accesso basato sui ruoli. Per ogni ruolo, è possibile definire le seguenti policy:

• Politica di Enforcement della Proprietà di Gruppo — Impedisce la creazione di un gruppo senza un proprietario principale e limita il numero di proprietari aggiuntivi che un gruppo può avere
• Politica dei prefissi del nome del gruppo —Richiede l'uso di un prefisso nel nome del gruppo durante la creazione del gruppo
• Nuova politica degli oggetti — Limita la creazione di nuovi oggetti a una specifica unità organizzativa (OU) nella directory
• Politica di ricerca — Limita la ricerca degli oggetti a una specifica OU
• Politica di autenticazione — Richiede l'uso di metodi di autenticazione specifici (come SMS o Windows Hello) per accedere a Netwrix Directory Manager
• Politica delle password — Specifica le regole delle password e i controlli di validazione
• Politica del servizio di assistenza — Implementa restrizioni sui tecnici del servizio di assistenza quando reimpostano le password degli utenti e sbloccano gli account utente

Conclusione

Il controllo degli accessi è essenziale per proteggere i dati e i sistemi IT. La scelta tra il controllo degli accessi basato sui ruoli e quello basato sugli attributi richiede una valutazione attenta della struttura, dei requisiti di sicurezza e conformità e delle proiezioni di crescita della propria organizzazione.

Netwrix Directory Manager rende la gestione degli accessi più facile da comprendere, implementare e supervisionare fornendo permessi e politiche di ruolo adattabili adatte a tutte le organizzazioni indipendentemente dalle dimensioni o dal settore.

FAQ

Qual è la differenza tra RBAC e ABAC?

RBAC assegna l'accesso in base ai ruoli di un utente, come il suo lavoro e il dipartimento. ABAC consente un controllo più granulare concedendo l'accesso in base ad attributi come il livello di anzianità dell'utente, il livello di sensibilità dei dati e la data o l'ora della richiesta di accesso.

ABAC è migliore di RBAC?

Ad alto livello, ABAC e RBAC perseguono lo stesso obiettivo: garantire che l'accesso ai dati e ad altre risorse IT sia adeguatamente limitato. Quale dei due sia migliore dipende da fattori come le dimensioni dell'organizzazione, la struttura e i requisiti di sicurezza e conformità.

In generale, ABAC è considerato più flessibile e granulare, rendendolo adatto per grandi organizzazioni con complesse esigenze di controllo degli accessi. RBAC, d'altra parte, è più semplice e spesso preferito da piccole e medie organizzazioni con gruppi ben definiti e risorse limitate.

Qual è la differenza tra il controllo degli accessi basato su policy (PBAC) e ABAC?

I controlli PBAC gestiscono l'accesso utilizzando politiche basate su criteri come condizioni, regole o ruoli. ABAC concede l'accesso in base agli attributi dell'utente, della risorsa e dell'ambiente.

Qual è la differenza tra il controllo dell'accesso basato sul contesto (CBAC) e ABAC?

ABAC concede l'accesso in base agli attributi dell'utente, della risorsa e dell'ambiente. CBAC considera il contesto più ampio in cui viene richiesto l'accesso, come lo stato di una sessione o il livello di rischio di una transazione.