関係性に基づくアクセス制御

コンピュータ システムのセキュリティでは、関係ベースのアクセス制御 (ReBAC) は、サブジェクトとリソース間の関係の存在によってサブジェクトのリソースへのアクセス権限が定義される 承認パラダイムを定義します。

一般的に、ReBAC における認可は、関係の有向グラフをトラバースすることによって実行されます。このグラフのノードとエッジは、リソース記述フレームワーク (RDF)データ形式のトリプルに非常に似ています。^[1] ReBAC システムでは、関係の階層が許可されており、一部のシステムでは、和集合、積集合、差集合などの関係に対する代数演算子を含む、より複雑な定義が許可されています。^[2]

ReBACは、ユーザーが受信者の役割ではなく、データ受信者との関係に基づいて個人情報を管理する必要があるソーシャルネットワークWebアプリケーションの台頭とともに人気を博しました。^[3] ReBACを使用すると、チームやグループの権限をまとめて定義できるため、リソースごとに個別に権限を設定する必要がなくなります。

ロールベースのアクセス制御（RBAC）は、特定の権限セットが関連付けられ、サブジェクトが割り当てられるロールを定義しますが、^{[4] ReBAC（ABAC [5]}など）では、よりきめ細かい権限を定義できます。^[4]たとえば、ReBACシステムが、 editorという1つのアクションを許可できるdocumentタイプのリソースを定義している場合、システムに関係('alice', 'editor', 'document:budget')が含まれる場合、サブジェクトAlice は特定のリソースdocument:budgetを編集できます。ReBACの欠点は、よりきめ細かいアクセスが可能である一方で、アプリケーションがより多くの承認チェックを実行する必要があることです。

ReBACシステムはデフォルトで拒否されており、その上にRBACシステムを構築することを許可しています。^[2]

ReBACという用語は、2006年にキャリー・E・ゲイツによって造られました。^[3]

2019年にGoogleは「Zanzibar: Googleの一貫したグローバル認証システム」を紹介する論文を発表しました。^[2]この論文では、名前空間構成とトリプルとして表現された関係データで構成されるシステムが定義されています。

この論文が発表されて以来、いくつかの企業が ReBAC システムの商用およびオープンソース製品を構築してきました。

• ロールベースのアクセス制御
• 属性ベースのアクセス制御