Modelos de autorização, responsabilidades e recertificação

Conceito e mecanismo

Depois de autenticar alguém, a organização continua a ter de decidir o que essa identidade pode fazer. Em RBAC, permissões são associadas a funções; a pertença à função deve seguir a necessidade real do trabalho. Em ABAC, uma decisão pode considerar atributos da identidade, do recurso, da ação e do contexto, sujeitos a uma política validada.

Um modelo não é automaticamente melhor: a política tem de ser compreensível, testável e aplicada pelo serviço que protege os dados. Separação de funções evita que a mesma pessoa consiga executar e aprovar isoladamente uma transação sensível.

Menor privilégio limita ações e âmbito; não é apenas dar a todos uma função com poucos privilégios por nome. Regista exceções, responsáveis, duração e evidência da revisão. As regras aplicam-se também a contas de serviço e agentes automatizados, cuja identidade não se confunde com a do utilizador humano que desencadeou a tarefa.

Aplicação guiada

Num exercício de revisão de acessos, compara três casos: alguém mudou de departamento e mantém permissões antigas; uma conta técnica recebeu acesso de escrita para executar apenas leituras; um operador aprova o próprio pedido de pagamento. O primeiro exige rever memberships e remover acessos desnecessários, o segundo restringir ações e recursos e o terceiro separar aprovação de execução.

Na política ABAC, indicar departamento no cliente não chega: valida o atributo numa fonte fiável e aplica a decisão na API, não apenas na interface. Recolhe uma amostra de tentativas permitidas e negadas, datas de expiração de exceções e provas de revogação em sessões já emitidas.

Concluir que a política é correta só porque o ecrã omite um botão não constitui teste de autorização. Quando uma identidade é desativada, verifica também tokens, integrações e credenciais que continuem válidos.

Armadilhas comuns

Confundir login com permissão; atribuir papel pelo nome; confiar em atributos do cliente; deixar exceções sem prazo; omitir contas técnicas.