RBAC ย่อมาจาก Role-based Access Control (การควบคุมการเข้าถึงแบบบทบาท) ยังเรียกว่าความปลอดภัยแบบบทบาท (Role-based Security) เป็นวิธีการควบคุมการเข้าถึงที่สร้างสิทธิ์ (Permissions) ให้กับผู้ใช้ปลายทาง (End-users) ขึ้นอยู่กับบทบาทของพวกเขาภายในองค์กร RBAC ให้การควบคุมที่ละเอียด (Fine-grained Control) ให้วิธีการที่เรียบง่าย สามารถควบคุมได้ (Controllable) สำหรับการบริหารการเข้าถึงที่น้อยกว่าการกำหนดสิทธิ์แต่ละรายบุคคล (Less Error-prone)
การควบคุมการเข้าถึงแบบบทบาท (Role-based Access Control - RBAC) เป็นแนวคิดของการจัดการการเข้าถึงอย่างปลอดภัยโดยการสร้างและจำกัดการเข้าถึงของผู้ใช้ขึ้นอยู่กับบทบาทที่กำหนดไว้ชัดเจน องค์กรพึ่งพา RBAC เพื่อวางนโยบายการเข้าถึงที่มั่นคง กำหนดไว้ล่วงหน้า (Pre-defined) และได้รับการอนุมัติล่วงหน้า (Pre-approved) ซึ่งระบุว่าผู้ใช้แต่ละคนต้องการสิทธิ์การเข้าถึงอะไร และให้สิทธิ์หรือเพิกถอนการเข้าถึงใดๆ
บทบาทภายในองค์กรประกอบด้วยชุดของสิทธิ์การเข้าถึงบนแอปพลิเคชันหนึ่งหรือหลายแอปพลิเคชันที่จัดกลุ่มไว้ด้วยกัน เพราะมักถูกกำหนดให้กับผู้ใช้ประเภทเดียวกัน เมื่อบทบาทถูกนำไปใช้ องค์กรสามารถกำหนดสิทธิ์ได้อย่างมีประสิทธิภาพในลักษณะที่เรียบง่ายและอัตโนมัติ สิทธิ์การเข้าถึงเหล่านี้สามารถเป็นแบบข้ามระบบ (Cross-system) ข้ามแพลตฟอร์ม (Cross-platform) หรือข้ามซอฟต์แวร์ (Cross-software) และสามารถดำรงอยู่ในสถานที่ (On-premise) ในคลาวด์ (Cloud) หรือทั้งสองอย่าง
RBAC พึ่งพาบทบาทเหล่านี้เพื่อระบุและจัดกลุ่มสิทธิ์การเข้าถึงทั่วไปร่วมกัน ดังนั้นจึงสามารถนำไปใช้เพื่อลดความเสี่ยงการเข้าถึงที่เกี่ยวข้องกับตัวตน (Identity-related Access Risks) และเพิ่มประสิทธิภาพข้ามธุรกิจได้อย่างง่ายดาย
การควบคุมการเข้าถึงแบบบทบาทโดยทั่วไปใช้ร่วมกับหลักการของสิทธิ์น้อยที่สุด (Principle of Least Privilege) ซึ่งบทบาทที่กำหนดจะเกี่ยวข้องเพียงระดับการเข้าถึงที่ต่ำสุดที่จำเป็นเพื่อทำหน้าที่งานหรือข้อกำหนดที่จำเป็น
วิธีการของ Role Based Access Control ให้การเข้าถึงทรัพยากรการคอมพิวติ้งคลาวด์ (หรือกลุ่มของทรัพยากร) ขึ้นอยู่กับบทบาทของผู้ใช้ภายในองค์กร ด้วยบุคคลในแต่ละบทบาทได้รับสิทธิ์และความยืดหยุ่นเพียงพอที่จะดำเนินการงานที่จำเป็นสำหรับงานของพวกเขา องค์กรลดพื้นที่การโจมตี (Attack Surface) และระดับความเปราะบางต่อการโจมตีไซเบอร์ (Cyber-attacks) ลง
วิธีการ RBAC ขึ้นอยู่กับชุดของกฎหลักสามกฎที่ควบคุมการเข้าถึงระบบที่ปลอดภัย:
การมอบหมายบทบาท (Role Assignment): ธุรกรรมหรือการดำเนินการแต่ละรายการสามารถดำเนินการได้ก็ต่อเมื่อผู้ใช้ได้รับบทบาทที่เหมาะสม การดำเนินการนิยามว่าเป็นการกระทำบางอย่างที่ดำเนินการเกี่ยวกับระบบหรือวัตถุเครือข่ายที่ได้รับการป้องกันโดย RBAC บทบาทสามารถมอบหมายโดยฝ่ายอิสระหรือเลือกโดยผู้ใช้ที่พยายามดำเนินการ
การอนุญาตบทบาท (Role Authorization): เป้าหมายของการอนุญาตบทบาทคือให้แน่ใจว่าผู้ใช้สามารถพิจารณาบทบาทได้เฉพาะที่พวกเขาได้รับการอนุญาตที่เหมาะสม เมื่อผู้ใช้รับบทบาท พวกเขาควรทำด้วยการอนุญาตจากผู้ดูแลระบบ (Administrator)
การอนุญาตธุรกรรม (Transaction Authorization): การดำเนินการสามารถทำได้ก็ต่อเมื่อผู้ใช้ที่พยายามทำธุรกรรมครอบครองบทบาทที่เหมาะสม
