È corretto considerare il controllo dell'accesso basato su attività come un tipo di RBAC?

5

Sto studiando per la certificazione CISSP e una delle lezioni video che ho visto (CBT Nuggets) mi ha davvero confuso. Ecco alcuni estratti dalla conferenza:

"Role Based Access Control doesn't always use the role for the basis for how it's going to divide information and access the information"

"Now let's get into, I guess the easiest way to define it is the 'types of RBAC' that you might see out there. The first one is role based and that one is the one that's naturally the idea here because we're talking about role based access control. But what I'm also going to say is that there's also what's known as Task Based Access Control, also called RBAC. In other words, the way we're going to divide our groups or our containers is either going to be by role or by task.

È corretto considerare il controllo dell'accesso basato sulle attività come un tipo di RBAC? Ciò non sembra giusto e altre risorse sembrano discuterne come un quadro di controllo accessi completamente separato (ad esempio link )

    
posta Mike B 03.05.2011 - 02:22
fonte

1 risposta

4

Esistono alcuni modelli di controllo degli accessi non canonici (o non "standard") (oltre al ben noto MAC, DAC, RBAC ...), che sono semplicemente non ben definiti .
Come in, chiunque può definirli o ridefinirli come vogliono, purché il modello abbia un senso.

es. questo post è stata la prima volta che ho sentito quel modello chiamato "Controllo degli accessi basato su attività", anche se io uso / impieghiamo / recensisco molto. Stranamente, il libro a cui ti sei collegato era la seconda volta, in un altro significato ...

Indicherò che in molti / molti casi che usano il modello che hai chiamato TBAC, viene aggregato in ruoli.
Cioè, l'accesso è concesso in base a task , ma il controllo di accesso confronta quindi questo task con roles che contengono quell'attività e users che fanno parte di uno di quei roles .
In altre parole, le attività possono essere viste come "sub-ruoli" - o se è più semplice, i ruoli diventano contenitori di ruolo e le attività sono i ruoli reali ...
Vedi per es. Strumento AzMan di Microsoft.

Chiaramente, questo è un miglioramento enorme su RBAC dritto, poiché ti dà un po 'di granularità e dinamiche con cui giocare, ma è ancora una forma di RBAC (esteso).
A proposito, ho anche visto questo chiamato "RBAC gerarchico", quindi ...

    
risposta data 03.05.2011 - 11:41
fonte

Leggi altre domande sui tag