Attribuuttiperusteinen

Attribuuttiperusteinen pääsynvalvonta (ABAC) on pääsynhallinnan malli, jonka perusperiaate on antaa tai rajoittaa pääsyä resurssiin päätösten perusteella, jotka perustuvat käyttäjän, resurssin, toiminnan ja ympäristön attribuutteihin. Toisin kuin perinteiset roolipohjaiset mallit (RBAC), ABAC ei rajoitu tiettyihin rooleihin vaan ottaa huomioon monipuolisen kontekstin.

Attribuuttien tyypit ja esimerkit: käyttäjän attribuutit (tunnistetiedot, identiteetti, asema, luokitus, sertifikaatit), resurssin attribuutit (tiedoston tyyppi, omistajuus, luokitus), toiminnon attribuutit (luku, kirjoitus, poistaminen) sekä ympäristön attribuutit (aika, sijainti, laitteiston tila, verkon turvallisuus). Päätökset muodostuvat näiden eri attribuuttien suhteesta ja määrätyistä politiikoista.

Arkkitehtuuri ja standardit: ABAC-ympäristössä päätöksenteko tapahtuu usein päätöspisteen (Policy Decision Point, PDP) ja toteutus- tai valvontapisteen (Policy Enforcement Point, PEP) välillä. Käytössä ovat politiikkadokumentit ja standardit kuten XACML, sekä monissa ratkaisuissa kevyemmät, teknologiapohjaiset mallit. ABAC soveltuu hyvin pilvi- ja mikropalveluarkkitehtuureihin sekä tilanteisiin, joissa pääsyn pitää mukautua dynaamisiin konteksteihin.

Edut ja haasteet: ABAC mahdollistaa hienostuneen, kontekstisidonnaisen ja hallittavan pääsyn kaikille resursseille, jolloin voidaan tukea least-privilege -periaatetta. Haasteisiin kuuluvat politiikkojen ja attribuuttien hallinnan kompleksisuus, attribuuttien luotettavuus ja elinkaari, tietosuoja sekä suorituskyky ja latenssi suurissa ympäristöissä.

Käyttökohteita ovat monimutkaiset organisaatio- ja pilviympäristöt, tiedonhallinta, säädösten noudattaminen sekä dynaamiset käyttöoikeuksien hallintatarpeet.