RBAC ve ABAC: Hangisini Seçmeli?

Bir kuruluşun verilerine, uygulamalarına ve diğer BT kaynaklarına erişimi kontrol etmek hayati ve karmaşık bir görevdir. Her kullanıcının işini yapmak için ihtiyaç duyduğu kaynaklara erişebilmesini sağlamak çok önemlidir, ancak hiç kimse meşru bir ihtiyaç duymadığı hiçbir veriye veya sisteme erişemez.

Bu makale, erişim kontrolüne yönelik iki popüler modeli, rol tabanlı erişim kontrolünü (RBAC) ve öznitelik tabanlı erişim kontrolünü (ABAC) inceliyor ve kuruluşunuz için daha uygun seçeneği seçmenize yönelik rehberlik sunuyor.

Rol Tabanlı Erişim Kontrolü Nedir?

RBAC modelinde çalışanlara ve diğer kullanıcılara, kuruluşta sahip oldukları rol veya rollere göre erişim hakları verilir. Yani yöneticiler bir dizi rol tanımlar, bu rollerin her birine uygun erişim izinleri verir ve ardından her kullanıcıya bir veya daha fazla rol atar; bir kişiye atanan roller, BT kaynaklarına erişim haklarını belirler.

RBAC örnekleri

İşte bazı rol örnekleri ve bunlara verilebilecek bazı erişim hakları:

Baş Teknoloji Sorumlusu — Şirketin tüm sunucularına erişin
Yazılım mühendisi — Belirli uygulama sunucularına erişin
Yardım masası teknisyeni — Kullanıcı şifrelerini sıfırlayın ve kullanıcı hesaplarının kilidini açın

RBAC'ın Avantajları

RBAC'ın uygulanması erişim yönetimini basitleştirir. Kuruluşa yeni bir çalışan katıldığında yöneticilerin onlara bir dizi izni tek tek vermesi gerekmez; yeni işe alınan kişiye ilgili rolleri kolayca atayabilir ve ilgili tüm erişim haklarına anında sahip olurlar. Benzer şekilde, bir çalışan ekipleri veya departmanları değiştirdiğinde, onlara uygun yeni erişim haklarını vermek (ve daha da önemlisi artık ihtiyaç duymadıkları hakları kaldırmak), rol atamalarını değiştirmek kadar basittir.

Birçok kurumsal sistem rol tabanlı erişim kontrolü sunar. Burada Microsoft Entra'nın (eski adıyla Azure), Active Directory ve SharePoint'in RBAC'yi nasıl kullandığına ilişkin bir genel bakış bulunmaktadır.

Microsoft Entra'da RBAC

Microsoft Entra'daki rol tabanlı erişim kontrolü, yöneticilerin bulut kaynaklarına erişimi yönetmesine yardımcı olur. Örneğin, RBAC'ı şunları yapmak için kullanabilirsiniz:

Bir kullanıcı grubunun sanal ağları yönetmesine ve başka bir grubun sanal makineleri yönetmesine olanak tanıyın.
Veritabanı yöneticilerine SQL veritabanlarını yönetme yetkisi verin.
Belirli bir kullanıcı grubunun belirli web sitelerini yönetmesine izin verin.
Bir uygulamanın kaynak grubundaki tüm kaynaklara erişmesine izin verin.

Active Directory'de RBAC

Active Directory'de güvenlik grupları rol görevi görür. Her gruba belirli kaynaklara erişim izni verilir ve grubun tüm üyeleri bu hakları devralır. AD bir dizi varsayılan güvenlik grubu içerir ve yöneticiler ek gruplar oluşturabilir.

Yerleşik güvenlik gruplarından bazıları ve bunların izinleri şunlardır:

Yedekleme Operatörleri — Üyeler, bu dosyalara erişmek için gerekli izinlere bakılmaksızın bilgisayardaki dosyaları geri yükleyebilir ve değiştirebilir.
Uzak Masaüstü Kullanıcıları — Üyeler bir RD Oturumu Ana Bilgisayarı sunucusuna uzaktan bağlanabilir.
Alan Adı Yöneticileri — Üyeler, belirli bir AD alanında kapsamlı haklara sahiptir. Örneğin, tüm grupların üyeliklerini güncelleyebilir ve etki alanı denetleyicilerine erişimi kontrol edebilirler.
Kurumsal Yöneticiler — Üyeler, alt alan adları eklemek gibi orman çapında değişiklikler yapabilir.
Şema Yöneticileri — Şema Yöneticileri Active Directory şemasını değiştirebilir.

SharePoint'te RBAC

SharePoint ayrıca üyelerin devraldığı izinlere sahip önceden tanımlanmış rollere de sahiptir. Bu roller şunları içerir:

Son Kullanıcılar: Üyeler, liste öğelerindeki ve belge kitaplıklarındaki içerikle çalışabilir ancak siteleri yapılandıramaz veya yönetemez.
Uzman Kullanıcılar: Üyeler listeler, web sayfaları, kitaplıklar vb. gibi belirli site bileşenleriyle etkileşimde bulunabilir.
Site Sahipleri: Üyeler, alt site oluşturma, tasarım ve izin yönetimi de dahil olmak üzere SharePoint sitesinin tamamı üzerinde kontrole sahiptir.
Site Koleksiyonu Yöneticileri: Üyeler, bir site koleksiyonundaki siteler üzerinde denetime sahiptir.
SharePoint Farm Yöneticileri: Bu üst düzey yöneticiler, SharePoint grubu üzerinde bakım, depolama, web uygulamaları ve site koleksiyonları gibi konularda tam kontrole sahiptir.

Exchange'te RBAC

Microsoft Exchange ayrıca bir RBAC modelini takip etmektedir. Yerleşik yönetim rollerinden bazıları şunlardır:

Alıcı Yönetimi — Üyeler, Exchange Server kuruluşu içinde Exchange Server alıcıları oluşturabilir veya güncelleyebilir.
Yardım Masası — Üyeler adresler, telefon numaraları ve görünen adlar gibi kullanıcı özelliklerini görüntüleyebilir ve güncelleyebilir.
Sunucu Yönetimi — Üyeler, sertifikalar, istemci erişim protokolleri ve sanal dizinler gibi sunucuya özgü özellikleri yapılandırabilir.
Organizasyon Yönetimi — Üyelerin Exchange Server organizasyonuna üst düzey erişimi vardır; bu, bir Exchange nesnesine ilişkin hemen hemen tüm görevleri gerçekleştirebilecekleri anlamına gelir.
Hijyen Yönetimi — Üyeler, Exchange'deki spam önleme ve kötü amaçlı yazılım önleme özelliklerini yapılandırabilir.

Özellik Tabanlı Erişim Kontrolü nedir?

ABAC, kullanıcının özelliklerine göre, rolleri yerine veya bunlara ek olarak erişim ayrıcalıkları verir. Nitelik örnekleri şunları içerir:

Kullanıcı özellikleri: İş unvanı, kıdem düzeyi, departman, iş rolü
Kaynak özellikleri: Dosya türü, dosyanın sahibi, dosyanın hassasiyet düzeyi
Ortam: Ağ, coğrafi konum, tarih, günün saati

Bu nasıl çalışır:

Yöneticiler, bir kaynak üzerinde bir eylem gerçekleştirmek için hangi öznitelik kombinasyonunun gerekli olduğunu belirten ilkeleri tanımlar.
Bir kullanıcı bir kaynağa erişim istediğinde ABAC bu kullanıcının özelliklerini kontrol eder. Tanımlanan politikaları karşılıyorlarsa erişim verilir; aksi takdirde istek reddedilir.

ABAC örnekleri

ABAC politikalarına iki örnek:

Bordro bilgilerine ulaşabilmek için kullanıcının İK departmanına üye olması gerekmektedir. Ayrıca erişim talebinin normal iş saatleri içerisinde olması ve kullanıcının yalnızca kendi şirket şubesine ait verilere ulaşabilmesi gerekmektedir.
Satış fırsatlarına ve ilgili hassas verilere erişebilmek için kullanıcının bir satış temsilcisi olması ve Amerika Birleşik Devletleri bölgesinde bulunması gerekir.

ABAC'ın Faydaları

Roller yerine niteliklerin kullanılması, erişim kontrolüne daha ayrıntılı bir yaklaşım sağlar. Ancak ABAC, RBAC'tan daha karmaşık olabilir.

Microsoft Entra'da ABAC

Gördüğümüz gibi Microsoft Entra, rollere göre izinlerin atanmasına olanak tanıyor. Ancak aynı zamanda yöneticilerin belirli eylemler için koşullar eklemesine de olanak tanır; bu da ABAC'ın nasıl RBAC'ın bir uzantısı olarak değerlendirilebileceğini gösterir. Örneğin, bir kullanıcının belirli bir nesneyi okuyabilmesi için kullanıcının belirli bir role sahip olması ve nesnenin belirli bir meta veri etiketine sahip olması gerektiğine dair bir koşul ekleyebilirsiniz.

Öznitelik Tabanlı Erişim Kontrolü ve Rol Tabanlı Erişim Kontrolü: Bir Karşılaştırma

Aşağıdaki tablolarda hem rol tabanlı erişim denetiminin (RBAC) hem de öznitelik tabanlı erişim denetiminin (ABAC) artıları ve eksileri gösterilmektedir:

RBAC'ın artıları

RBAC, küçük ve orta ölçekli kuruluşlar için iyi çalışır.
Organizasyon hiyerarşisini kolayca modelleyebilirsiniz. Örneğin, yöneticilere doğrudan raporlarının tüm izinlerini otomatik olarak verebilirsiniz.
RBAC'ı uygulamak için gereken maliyetler nispeten düşüktür.

RBAC'ın Eksileri

Büyük organizasyonlar o kadar çok role ihtiyaç duyabilir ki, onları yönetmek hantal hale gelebilir.
Çok sayıda rolün haklarını tanımlamak zaman alıcı ve karmaşık olabilir.
Her kullanıcının ihtiyaç duyduğu tüm haklara sahip olmasını sağlamak, sık sık yeni roller oluşturulmasını gerektirebilir.

ABAC'ın Artıları

ABAC büyük kuruluşlar için daha iyi çalışabilir.
İzinleri eklemek veya kaldırmak için yöneticiler kullanıcının özelliklerini güncelleyebilir; bu, yeni roller tanımlamaktan çok daha kolaydır.

ABAC'ın Eksileri

RBAC uygulaması karmaşık ve zaman alıcı olabilir.
ABAC'ın karmaşıklığı nedeniyle uygulama sırasındaki hatalardan kurtulmak zor olabilir.

RBAC ve ABAC: Hangisini Seçmelisiniz?

RBAC ve ABAC'ı seçmek kuruluşunuzun yapısını, bütçesini, boyutunu ve güvenlik gereksinimlerini anlamanızı gerektirir. Bazı senaryolarda ABAC kazanan oluyor, diğerlerinde ise RBAC'ı kullanmak daha iyi.

Şu durumlarda RBAC'ı seçin:

Küçük veya orta ölçekli bir organizasyona sahip olmak
Büyük bir yeni kullanıcı akışı beklemeyin
İyi tanımlanmış kullanıcı gruplarına sahip olun
Bütçe, kaynak veya zaman açısından yetersiz

Aşağıdaki durumlarda ABAC'ı seçin:

Büyük bir organizasyona sahip
Kullanıcı tabanınızın önemli ölçüde genişlemesini bekleyin
Yeterli bütçe ve kaynağa sahip olmak
Son derece özelleştirilebilir ve esnek bir erişim kontrol politikası istiyorsanız

Netwrix GroupID aracılığıyla Erişim Kontrolü

Netwrix GroupID, RBAC modelini izleyen güçlü bir kimlik ve erişim yönetimi (IAM) çözümüdür. Aşağıdaki önceden tanımlanmış rolleri içerir:

Yönetici — Bir kimlik deposundaki tüm Netwrix GroupID işlevlerini gerçekleştirebilir
Yardım Masası — Diğer kullanıcılar adına dizin bilgilerini güncelleyebilir, hesap şifrelerini sıfırlayabilir ve hesapların kilidini açabilir
Kullanıcı — Gruplar oluşturabilir, gruplarını yönetebilir ve kendi dizin profillerini ve şifrelerini yönetebilir

Ek roller oluşturabilir ve bunlara uygun izinler atayabilirsiniz. Örneğin, rol üyelerinin şunları yapmasını sağlamak için roller oluşturabilirsiniz:

Grup oluşturma ve yönetme
Kullanıcı profillerini yönet
Zamanlanmış işleri yönet

Netwrix GroupID'deki Politikalar

Netwrix GroupID politikaları, rol tabanlı erişimi iyileştirir ve güçlendirir. Her rol için aşağıdaki politikaları tanımlayabilirsiniz:

Grup Sahipliği Uygulama politikası — Birincil sahibi olmayan bir grup oluşturulmasını engeller ve bir grubun sahip olabileceği ek sahiplerin sayısını kısıtlar
Grup Adı Ön Ekleri politikası — Grup oluşturma sırasında grup adında bir önek kullanılmasını gerektirir
Yeni Nesne politikası — Yeni nesnelerin oluşturulmasını dizindeki belirli bir kuruluş birimiyle (OU) sınırlandırır
Arama politikası — Nesne aramasını belirli bir kuruluş birimiyle sınırlar
Kimlik doğrulama politikası — Netwrix GroupID'de oturum açmak için belirli kimlik doğrulama yöntemlerinin (SMS veya Windows Hello gibi) kullanılmasını gerektirir
Şifre politikası — Şifre kurallarını ve doğrulama kontrollerini belirtir
Yardım Masası politikası — Yardım masası teknisyenlerinin kullanıcı şifrelerini sıfırlaması ve kullanıcı hesaplarının kilidini açması durumunda kısıtlamalar uygular

Sonuç

Erişim kontrolü, verileri ve BT sistemlerini korumak için gereklidir. Rol tabanlı erişim kontrolünü ve öznitelik tabanlı erişim kontrolünü seçmek, kuruluşunuzun yapısının, güvenlik ve uyumluluk gereksinimlerinin ve büyüme tahminlerinin dikkatli bir şekilde değerlendirilmesini gerektirir.

Netwrix GroupID, boyutu veya sektörü ne olursa olsun tüm kuruluşlara uygun uyarlanabilir rol izinleri ve politikaları sağlayarak erişim yönetiminin anlaşılmasını, uygulanmasını ve denetlenmesini kolaylaştırır.

SSS

RBAC ve ABAC arasındaki fark nedir?

RBAC, erişimi kullanıcının işi ve departmanı gibi rollerine göre atar. ABAC, kullanıcının kıdem düzeyi, verilerin hassasiyet düzeyi ve erişim isteğinin tarihi veya saati gibi özelliklere dayalı olarak erişim vererek daha ayrıntılı kontrol sağlar.

ABAC, RBAC'tan daha mı iyi?

Yüksek düzeyde ABAC ve RBAC aynı hedefe hizmet eder: Verilere ve diğer BT kaynaklarına erişimin uygun şekilde sınırlandırılmasına yardımcı olmak. Hangisinin daha iyi olduğu kuruluşun büyüklüğü, yapısı, güvenlik ve uyumluluk gereklilikleri gibi faktörlere bağlıdır.

Genel olarak ABAC'ın daha esnek ve ayrıntılı olduğu düşünülür ve bu da onu karmaşık erişim kontrolü ihtiyaçları olan büyük kuruluşlar için uygun kılar. Öte yandan RBAC daha basittir ve iyi tanımlanmış gruplara ve sınırlı kaynaklara sahip küçük ve orta ölçekli kuruluşlar tarafından sıklıkla tercih edilir.

Politika tabanlı erişim denetimi (PBAC) ile ABAC arasındaki fark nedir?

PBAC, koşullar, kurallar veya roller gibi kriterlere dayalı politikaları kullanarak erişimi kontrol eder. ABAC, kullanıcı, kaynak ve çevresel niteliklere dayalı olarak erişim sağlar.

Bağlam tabanlı erişim kontrolü (CBAC) ile ABAC arasındaki fark nedir?

ABAC, kullanıcı, kaynak ve çevresel niteliklere dayalı olarak erişim sağlar. CBAC, bir oturumun durumu veya bir işlemin risk düzeyi gibi erişimin talep edildiği daha geniş bağlamı dikkate alır.