Roles, claims, RBAC ve ABAC

Kavramı anlayalım

Rol kullanıcıya verilen bir kategori, claim ise özne hakkındaki doğrulanmış bir ifadedir. Her claim rol değildir; department, tenant ve authentication context farklı anlamlar taşır. Client body’sindeki role=Admin değeri güvenilir claim olmaz. RBAC izinleri rollere bağlar; küçük sistemde anlaşılırdır ama çok sayıda özel koşul rol patlaması üretebilir.

ABAC, özne ve kaynak nitelikleri ile çevresel koşulları birlikte değerlendirir. “Finans çalışanı kendi tenant’ının, henüz kapanmamış gider kaydını onaylayabilir” yalnız Admin rolüne sığmaz. Policy bu kuralları merkezi ve test edilebilir hale getirir. Rol isimleri, claim type ve mapping identity provider ile tutarlı olmalıdır; case ve claim namespace farklarını rastgele düzeltme.

İzinlerin tamamını token’a koymak güncellik ve boyut sorunu doğurabilir. Kısa token ömrü, server-side permission lookup veya policy cache iptali gibi kararları gereksinime göre ver. Çoklu requirement’ların birlikte nasıl değerlendirildiğini kullanılan framework üzerinden öğren; handler davranışını yanlış varsayma. Yeni rol eklerken eski endpointlerin istemeden açılmamasını test et. RBAC ve ABAC birbirini dışlamak zorunda değildir.