// SÖZLÜK

RBAC (Rol Tabanlı Erişim Kontrolü)

Kullanıcı ve servis kimliklerinin hangi kaynakta hangi işlemi yapabileceğini, tek tek izinler yerine roller ve bağlar (bindings) üzerinden yöneten yetkilendirme modelidir. Yaygınlığı yönetilebilirliğinden gelir: yüzlerce kullanıcıya tek tek izin atamak yerine, izinler rollerde toplanır ve kullanıcılar rollere bağlanır. Ancak güvenlik açısından kritik incelik şudur: bir rolün atanmış olması, bir kontrolün var olduğunun kanıtı değildir. Çünkü gerçek erişim, yani etkin yetki (effective permissions), rollerin üst üste binmesinden, miras ilişkilerinden ve koşullardan doğar ve çoğu zaman tek tek rollerin basit toplamından farklıdır. 'Yalnızca okuma' sanılan iki rol birleştiğinde beklenmedik bir yazma yetkisi üretebilir, ya da bir rol başka bir role geçiş (assume) hakkı taşıyorsa geçişli yetki yoluyla kapsam genişleyebilir. Bu yüzden 'rol atanmış' demek 'yetki doğru' demek değildir; bir RBAC yapılandırmasının güvenliği, rol tanımlarını okuyarak değil, her kimliğin hesaplanmış gerçek erişimini doğrulayarak sınanır. Kontrolü bir iddia değil, hesaplanmış bir sonuç gösterir.