Behörighetsgrupper

Behörighetsgrupper är samlingar av användare och ofta även enheter som tilldelas samma uppsättning behörigheter till resurser i ett IT-system. Genom att använda grupper kan administratörer hantera behörigheter på en central nivå istället för att tilldela rättigheter till varje användare separat. Gruppen fungerar som ett behörighetslager i RBAC-liknande modeller, där en användares tillgång styrs av de grupper hen tillhör.

Vanliga typer och hur de används i miljöer som Windows/AD är: Säkerhetsgrupper används för att tilldela åtkomst till filer, databaser och applikationer via ACLs. Distributionsgrupper används främst för e-post och aviseringar. I AD-domäner kan grupper kategoriseras som globala grupper (för användare i samma domän), domänlokala grupper och universella grupper, beroende på var i organisationen de används. Många miljöer stöder även nesting (grupp i grupp) och dynamiska grupper vars medlemskap uppdateras automatiskt utifrån regler eller HR-data.

Hantering av behörighetsgrupper kräver tydligt ägarskap, namnkonventioner och regelbunden översyn. Praktiken RBAC innebär att man utgår från roller och sedan grupperar användare efter behov. Provisioning och deprovisioning bör automatiseras där det är möjligt samt loggning och revision av medlemskap och behörigheter bör ske kontinuerligt för spårbarhet och regelefterlevnad.

Risker och begränsningar omfattar överskridande rättigheter genom nesting, missbruk av gruppägarskap samt komplexitet i spridning över olika system. För att motverka detta rekommenderas principen om minst privilegium, färre grupper med tydlig ägarstruktur och kontinuerlig övervakning.