Rol tabanlı erişim nedir?

Rol tabanlı erişim nedir, yetkiyi neden kişiye değil role bağlarız?

Mağaza ekibi büyüdükçe kimin neye erişebildiğini kişi kişi hatırlamak imkânsızlaşır. Rol tabanlı erişim bu sorunu rollerle çözer. NIST'in RBAC sayfasına göre RBAC'te her kullanıcıya bir ya da daha fazla rol atanır, her role de o roldeki kullanıcılara izin verilen yetkiler tanımlanır. Güvenlik yönetimi, kurumun yapısına yakın bir düzeyde yürütülür. Anlatım NIST'in rol tabanlı erişim sayfasında (yeni sekmede açılır) yer alır.

Rol tabanlı erişim modeli nasıl işler?

Rol tabanlı erişim modeli üç parçadan oluşur: kullanıcılar, roller ve izinler. Kullanıcı doğrudan izne sahip olmaz; role atanır, rol de izinleri taşır. Bu yapıda yetki değiştirmek için kişinin rolünü değiştirmeniz yeterlidir.

• Kullanıcı: panele giren kişi.
• Rol: yapılan işin adı, örneğin editör.
• İzin: yapılabilecek işlem, örneğin ürün düzenlemek.

Rol tabanlı erişim örneği nasıl görünür?

Bir mağaza panelinde yönetici her şeye erişir. Müşteri temsilcisi siparişleri görür ve durum notu ekler ama fiyat değiştiremez. İçerik editörü ürün metinlerini düzenler ama siparişleri göremez. Muhasebeci faturalara ve raporlara erişir ama ürün silemez. Her rol, yalnızca işinin gerektirdiği yetkiyi taşır; bu yaklaşım hem hata hem kötüye kullanım riskini azaltır.

Rol tabanlı erişim ne zaman yetmez?

Rol tabanlı yapı kaba taneli kalabilir: aynı roldeki iki kişiden birine ek bir yetki vermek gerektiğinde ya rol çoğalır ya da yetki fazla geniş olur. Çok sayıda özel istisna, rollerin yeniden tasarlanması gerektiğini gösterir. Sürekli istisna talebi çıkan rolleri gözden geçirin.

Denetim nasıl yapılır?

Üç ayda bir hangi kullanıcının hangi role sahip olduğunu listeleyin. Artık çalışmayan kişilerin hesaplarını kapatın ve yönetici rolündekileri tek tek doğrulayın. Rol değişikliklerinin kaydını tutmak, bir sorun çıktığında kimin ne zaman yetki aldığını göstermenizi sağlar.

Rol tabanlı erişim nedir diye soran yeni ekip üyesine rol tabanlı erişim modelini bir şemayla gösterin ve rol tabanlı erişim örneği olarak kendi panelinizdeki rolleri listeleyin.

Rolleri kurarken nelere dikkat edilir?

Önce işleri listeleyin, sonra roller oluşturun; rollerin ekipteki kişilerden çok görevlere göre adlandırılması gerekir. Gereğinden geniş yetki vermeyin ve yönetici rolünü az sayıda kişiyle sınırlayın. Ekipten ayrılan kişinin rolünü hemen kaldırın ve rolleri düzenli aralıklarla gözden geçirin. Yönetici hesaplarında iki adımlı doğrulamayı açın. Araçlar arası yetkilendirmeyi düzenli kurmak için Entegrasyon ve Otomasyon Marketi sayfasına bakabilirsiniz.

Her rolün ne yapabildiğini kısa bir tabloda yazılı tutmak, hem yeni ekip arkadaşı hem denetim için işe yarar.

Rol tabanlı erişim nerede karşınıza çıkar?

• Mağaza panelinde "yönetici", "editör" ve "müşteri temsilcisi" rollerinin olması
• Destek ekibinin siparişi görüp fiyatı değiştirememesi
• Stajyerin yalnızca ürün açıklaması düzenleyebilmesi
• Muhasebecinin yalnızca faturalara erişmesi

Rol tabanlı erişim hakkında sık sorulanlar