Roles y permisos, el modelo RBAC

En el control de acceso por roles (RBAC, por sus siglas en inglés) hay tres piezas. El permiso es una acción sobre un recurso: «ver pedidos», «anular un cobro». El rol es un conjunto de permisos con nombre, pensado para un oficio: Vendedor, Auxiliar de bodega, Jefe de cartera. Y la persona recibe roles, no permisos sueltos.

La ventaja es de administración: cuando entra un vendedor nuevo se le asigna un rol y listo, y cuando el oficio cambia se cambia el rol una vez para todos. El costo es que el rol es un paquete: quien lo recibe recibe todo el paquete. Si el paquete trae un permiso de más, lo tienen todos los que lo usan.

Los permisos de una persona son la unión de los de sus roles. Un permiso que aparece en dos de sus roles cuenta una sola vez.

Abre el laboratorio. En el escritorio hay una carpeta con tres archivos: modelo.txt, roles.txt y asignaciones.txt. Listas la carpeta con ls y lees cada archivo con cat. El primero explica el formato de Casabella, el segundo da los permisos de cada rol y el tercero dice qué roles tiene cada usuario.

Laura Gaviria es ejecutiva de ventas y cartera. Mira sus dos roles en asignaciones.txt y suma sus permisos en roles.txt, con la regla de que un permiso repetido cuenta una vez.

Cuando hay un permiso delicado, la primera pregunta de quien revisa es en qué rol vive, porque ahí se decide quién lo recibe. Anular un cobro deshace un pago ya registrado, así que Casabella lo reservó. Busca en roles.txt el rol que lo contiene.

Dar dos roles a una persona suma sus poderes. A veces es lo que el cargo exige; a veces es una combinación que una sola persona no debería tener, como crear una compra y también aprobarla. En asignaciones.txt, busca a quien tiene a la vez el rol que crea compras y el rol que las aprueba. No decides todavía si es un problema: solo localizas la cuenta, que otro módulo de la ruta enseña a evaluar.