Un faux débat
RBAC et ABAC sont souvent présentés comme deux modèles concurrents. Dans un programme IAM réel, la bonne question n'est pas de savoir quel modèle est le plus élégant. Elle est de savoir quel modèle peut être gouverné, expliqué, audité et modifié sans casser l'organisation.
Le RBAC est généralement plus lisible. L'ABAC est souvent plus expressif. Les deux échouent si les données d'identité sont faibles ou si personne ne possède réellement le modèle d'accès.
Quand le RBAC fonctionne
Le RBAC fonctionne lorsque les responsabilités sont stables et peuvent être reliées à un nombre raisonnable de rôles. Il est utile pour des accès lisibles métier, des campagnes de revue, des patterns d'onboarding et des frontières d'accès privilégié.
Un bon RBAC demande :
- une ownership claire des rôles ;
- une limitation de l'explosion des rôles ;
- une séparation entre rôles métier et habilitations techniques ;
- des règles lifecycle joiner, mover, leaver ;
- des preuves de revue d'accès.
Quand l'ABAC aide
L'ABAC devient utile lorsque les décisions d'accès dépendent d'attributs : département, géographie, type de contrat, niveau de risque, état du device, environnement ou contexte de transaction.
L'ABAC peut réduire la multiplication des rôles statiques, mais il dépend fortement de la qualité des attributs. Si les sources autoritatives sont obsolètes, incohérentes ou disputées, les décisions deviennent fragiles.
Les modèles hybrides sont normaux
La plupart des environnements matures utilisent un modèle hybride. Les rôles expriment les responsabilités métier ; les attributs affinent le contexte et les décisions de politique.
Exemples :
- un rôle métier donne l'accès applicatif de base ;
- des attributs limitent géographie, environnement ou périmètre de données ;
- les opérations privilégiées exigent des conditions plus fortes ;
- les exceptions sont documentées et revues séparément.
La gouvernance est l'architecture
Le modèle d'accès n'est pas seulement un design technique. C'est un modèle opérationnel.
Questions importantes :
- qui possède le catalogue de rôles ;
- qui approuve les changements ;
- comment les accès sont revus ;
- comment les exceptions expirent ;
- comment la qualité des données d'identité est surveillée ;
- comment les développeurs consomment le modèle sans risque.
Points clés
- Le RBAC est utile lorsqu'il reste compréhensible et revuable.
- L'ABAC est utile lorsque les attributs sont fiables et la gouvernance assez mature.
- Les modèles hybrides ne sont pas un compromis faible ; ils sont souvent l'architecture praticable.