Выбор ответа Middle Авторизация: IDOR, RBAC, ABAC обновлено
RBAC или ABAC
Вопрос
Правило: «врач видит медкарты пациентов своего отделения, только в рабочую смену». Какая модель выразит его естественнее?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: ABAC: решение по атрибутам пользователя, пациента и контексту (отделение, время). В чистом RBAC пришлось бы заводить роль на каждое отделение и смену, это взрыв числа ролей.
Варианты ответа
- ABAC: решение по атрибутам пользователя, пациента и контексту (отделение, время)правильный ответ
- RBAC: достаточно роли «врач» и отдельной роли «дежурный врач» на время смены
- ACL: список врачей у каждой карты, который система пересчитывает при смене графика
- Достаточно аутентификации по рабочему пропуску, раз врач уже внутри больницы
Разбор
В чистом RBAC пришлось бы заводить роль на каждое отделение и смену, это взрыв числа ролей. ACL на каждую карту неудобно поддерживать. Аутентификация говорит, кто пользователь, но не что ему можно. ABAC проверяет атрибуты в момент запроса.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.