RBAC & ABAC

예시를 통해 역할 기반 접근 제어와 속성 기반 접근 제어를 비교해보자.

| 목표 | 웹개발 개념들에 대해서 간단히 알아보자. | | -------- | --------------------------------------- | | 학습내용 | RBAC, ABAC | | 난이도 | 🥚 |

자투리 공부 👉 예시 확인: RBAC, ABAC

📌 RBAC, Role-based Access Control

영어: 알백이라 읽음

역할 Role에 따라 사용자에게 권한을 부여하는 정적인 접근 제어 모델 (많이 쓰임)

1. 개념

| concept | 구분 | 내용 | 예시 | | ---------- | ------ | ------------------------------------- | -------------------- | | User | 사용자 | 하나 이상의 역할을 가질 수 있음 | 유저A, 유저B | | Role | 역할 | 사용자 그룹 | 관리자, 매니저, 사원 | | Resource | 자원 | 보호해야 하는 물리적 혹은 논리적 요소 | 데이터베이스, 파일 | | Permission | 권한 | 자원에 대한 접근 권한, 허용된 동작 | RWX |

Administrator & User

| Administrator | 관리자 | 사용자에게 역할을 부여, 각 역할에 해당하는 권한 할당 | | ------------- | ------ | ---------------------------------------------------- | | User | 사용자 | 역할을 가지며, 역할에 따라 자원에 접근 권한을 가짐 |

2. 예시: 치과

• 역할 Role

| 치과 의사 | 환자 진료, 치료 기록, 처방 | | --------- | -------------------------------- | | 기공사 | 보철물 제작 | | 환자 | 자신의 진료 기록, 예약 정보 확인 |

• 자원 Resource

| 환자 DB | 개별 환자의 정보, 치료 기록 | | -------------- | ----------------------------- | | 진료 DB | 치료 및 진료 기록 | | 의료 보철물 DB | 보철물 의뢰 상태 및 주문 정보 |

• 권한 Permission

| | 환자 | 진료 | 보철물 | | -------------- | ------------ | ------------ | ------------ | | 치과 의사 역할 | O | O | O | | 기공사 역할 | X | X | O | | 환자 역할 | O(본인 기록) | O(본인 기록) | O(본인 기록) |

3. 구현

사용자 인터페이스(UI)를 개발하고, 사용자의 역할 Role과 권한 Permission에 따라 다른 화면과 기능이 보이도록 구현

• 보안을 고려하여 사용자 역할과 권한에 따른 액세스 제어를 구현

| 구분 | 구현 | 예시 | | ------------------------- | --------------------------------------------------- | -------------------------------------------- | | 로그인 | 사용자 로그인 | user는 role을 가짐 | | 대시보드 | 로그인에 성공한 사용자의 역할에 따라, 대시보드 접근 | 관리자는 모든 자원과 기능 사용직원은 필요한 정보만 확인 | | 메뉴 | 로그인에 성공한 사용자의 역할에 따라, 메뉴 확인 | 직원은 관리자 메뉴를 볼 수 없음 | | 버튼 | 로그인에 성공한 사용자의 역할에 따라, 버튼 활성화 | 직원은 관리자 permission의 버튼을 볼 수 없음 |

---

📌 ABAC, Attribute-based Access Control

속성 Attribute에 따라 접근 권한을 설정하는 동적인 접근 제어 모델(유연함)

1. 개념

| concept | 구분 | 내용 | 예시 | | ---------- | ---- | --------------------------------- | --------------------------- | | Attributes | 속성 | 사용자 속성, 자원 속성, 환경 속성 | 사용자 속성: 부서, 보안레벨 |

자원 속성: 위치, 민감도, 소유권 환경 속성: 시간, 네트워크 조건 | | Policies | 정책 | 속성값에 기반하여 액세스 제어 결정 | 속성 조합 + 권한 할당 | | Access Request | 액세스 요청 | 자원에 접근 시 발생하는 요청 | 속성 평가 후, ABAC 정책에 따라 액세스 결정 |

2. 예시: 치과

| 자원 Resource | 자원 설명 | Ownership | 소유권 설명 | | -------------- | -------------------------------------------------- | --------- | ------------------------------------------------------------------- | | 치과 기록 DB | 환자의 치료 기록과 진료 정보 DB | 치과 | 치과가 소유하고 관리 | | 예약 시스템 | 환자의 진료 예약과 관련된 정보를 처리하는 시스템 | 치과 | 치과가 소유하고 관리 | | 환자 개인 정보 | 개별 환자의 개인 정보와 연락처 등 개인 정보 | 환자 | 해당 환자 소유권: 환자는 자신의 개인 정보를 관리하고 접근할 수 있음 | | 의료 보철물 DB | 보철물 제작과 관련된 정보를 담고 있는 데이터베이스 | 치과 | 치과가 보철물 제작에 관련된 자원을 소유: 이에 대한 접근 권한을 부여 |

3. 구현

ABAC는 다양한 속성 Attribute을 활용하여 동적인 액세스 Access를 구현할 수 있습니다.

• 예시
  • A Clinic의 특정 환자의 개인 정보를 수정할 때, 환자 역할의 사용자이며 소유권을 가진 본인이라면 자원에 접근
  • 보철물 의뢰가 완료 상태가 되었을 때, 환자 역할의 사용자가 자신이 소유권을 가진 보철물을 확인 가능
  • 특정 시간에 의료 보철물의 의뢰 상태에 접근 가능 등