En tilgangsrolle bestemmer hva en bruker får lov til å se og gjøre i systemet.
Aktøren sier hvem som bruker systemet; tilgangsrollen sier hva de får lov til. En saksbehandler kan lese og skrive i egne saker, en leder kan godkjenne, en revisor kan lese alt men endre ingenting. Hvorfor rolle og ikke gruppe? I RBAC — den etablerte modellen for tilgangsstyring — er en rolle en samling rettigheter, mens en gruppe er en samling brukere (slik Active Directory bruker ordet). Det er rettighetsbunten vi beskriver i en spesifikasjon, altså rollen. Brukerne knyttes til den etterpå. Å styre tilgang på rolle i stedet for på person er både tryggere og billigere. Ansetter dere en ny saksbehandler, får vedkommende rollen og har riktig tilgang umiddelbart. Uten roller må noen sette rettigheter manuelt per person — og det er der feilene oppstår, som regel ved at folk beholder tilgang de ikke lenger skal ha. I små systemer er det som regel én tilgangsrolle per aktør, og da er skillet mest formalia. Det begynner å bety noe når én aktør har flere roller (lederen er både godkjenner og ansatt), eller flere aktører deler én. To roller er verdt å ta stilling til i hver eneste spec: hva ser en som ikke er innlogget, og hva ser enhver innlogget bruker? Det er spørsmålene folk glemmer. Dette er også et GDPR-spørsmål. Kan alle ansatte se alle personopplysninger, har dere sannsynligvis et avvik.
Relaterte begreper: Aktør · Autorisasjon · Autentisering · Zero trust