ما هو التحكم في الوصول القائم على الأدوار؟

التحكم في الوصول القائم على الأدوار (RBAC) طريقة لإدارة الصلاحيات تمنح فيها الحقوق لأدوار، مثل «فني التركيب» أو «المشاهد»، ثم تسند الأشخاص إلى تلك الأدوار، بدلًا من منح كل حق لكل شخص على حدة. وحين ينتقل شخص إلى عمل آخر، تغيّر دوره، فتتبعه الصلاحيات تلقائيًا.

يبدو ذلك تفصيلًا إداريًا يخص قسم تقنية المعلومات، إلى أن يكون النظام المعني هو ما يتحكم في معدات مادية. ففي مبنى أو مصنع متصل، قد يتمكن حساب الدخول الذي يفتح مخطط درجات الحرارة من تعديل أتمتة أيضًا، أو حذف جهاز، أو إرسال أمر إلى صمام. ومن يملك أيًّا من هذه الحقوق قرارٌ يخص السلامة بقدر ما يخص الأمن، ويزداد صعوبة مع كل زميل ومقاول وعميل تدعوه.

باختصار

• يجمع RBAC الصلاحيات في أدوار ويسند الأشخاص إلى الأدوار، فيبقى الوصول قابلًا للإدارة مع نمو الفريق.
• يعني مبدأ الحد الأدنى من الصلاحيات أن يحصل كل شخص وكل تكامل على الحقوق التي يحتاجها عمله فقط، بدءًا من لا شيء.
• في الأنظمة المتصلة، الصلاحيات الخطرة هي تلك التي تغيّر الأشياء: الأتمتة، وإعدادات الأجهزة، والأوامر.
• تضيف المنصة متعددة المستأجرين حدًّا خارجيًا يُبقي بيانات كل عميل بعيدة عن أنظار الآخرين.

أمثلة على التحكم في الوصول القائم على الأدوار

أسهل طريقة لفهم النموذج هي رؤيته في نشر يشبه الواقع. خذ شركة خدمات تراقب 40 مبنى مكاتب بمستشعرات حرارة وتسرب وأبواب. خمسة أنواع من الأشخاص يحتاجون إلى الوصول، ولكل منهم حاجة مختلفة. وإذا كُتبت على شكل أدوار، فقد تبدو هكذا:

الدور	الأجهزة	لوحات المعلومات	الأتمتة والإنذارات	أوامر الأجهزة	المستخدمون والفوترة
فني التركيب	تعديل	عرض	لا شيء	إرسال	لا شيء
مدير المنشأة	عرض	تعديل	تعديل	إرسال	لا شيء
جهة اتصال المستأجر	لا شيء	عرض، لمبناه فقط	لا شيء	لا شيء	لا شيء
مهندس الدعم	تعديل	تعديل	تعديل	إرسال	لا شيء
مالك الحساب	تعديل	تعديل	تعديل	إرسال	تعديل

هذا الجدول هو فكرة RBAC كلها. فبدلًا من إدارة عشرات القوائم الفردية للصلاحيات، تدير خمسة صفوف فقط. يحصل فني التركيب الجديد على دور «فني التركيب» في يومه الأول، ويستطيع تسجيل العتاد دون أن يلمس الفوترة. وحين يغادر، تؤدي إزالة هذا الدور الواحد إلى إزالة كل شيء دفعة واحدة، وبذلك تتجنب مشكلة مألوفة: حسابات تبقى قائمة بعد انتهاء العمل الذي أُنشئت من أجله.

ولهذا النهج تاريخ موثق. فقد وصف ديفيد فيرايولو وريتشارد كون من المعهد الوطني الأمريكي للمعايير والتقنية (NIST) التحكمَ في الوصول القائم على الأدوار عام 1992، ثم أصبح نموذج موحد من NIST لاحقًا المعيار ANSI INCITS 359-2004. ويصف NIST نموذج RBAC بأنه النموذج السائد للتحكم المتقدم في الوصول، وتضيف تطبيقات كثيرة تسلسلات هرمية للأدوار، يرث فيها الدور الأعلى كل ما يستطيع الدور الأدنى فعله.

لكن انظر مجددًا إلى صف «جهة اتصال المستأجر». فقيد «لمبناه فقط» لا يمكن التعبير عنه بدور بسهولة. ومع 40 مبنى، يدفعك RBAC الصرف نحو 40 دورًا: جهة اتصال المستأجر للمبنى 1، وجهة اتصال المستأجر للمبنى 2، وهكذا. ويسمي مسؤولو الأنظمة ذلك «انفجار الأدوار»، وهو السبب الرئيسي لتجاوز نماذج الوصول فكرة الأدوار وحدها، كما توضح المقارنة أدناه.

ما هو مبدأ الحد الأدنى من الصلاحيات؟

ينص مبدأ الحد الأدنى من الصلاحيات على أن يعمل كل مستخدم وكل برنامج بأصغر مجموعة من الصلاحيات تتيح له أداء عمله. وقد صاغه جيروم سالتزر ومايكل شرودر بهذه العبارات في ورقتهما عام 1975 عن حماية المعلومات في أنظمة الحاسوب، وظل منذ ذلك الحين مبدأً من مبادئ التصميم.

الأدوار تنظّم الصلاحيات، ومبدأ الحد الأدنى من الصلاحيات يحدد حجم كل دور. فدور «المشغّل» الذي يتضمن أيضًا حذف الأجهزة يتبع نموذج RBAC، لكنه يمنح أكثر مما يتطلبه عمل المشغّل.

وتزداد أهمية هذا المبدأ أكثر من المعتاد في المعدات المتصلة، لأن الصلاحيات تأتي بثلاث درجات قوة متمايزة. قراءة البيانات أخفها. وتغيير الإعدادات، كحد أو أتمتة، أقوى منها، لأن تعديلًا خاطئًا قد يخفي مشكلة حقيقية. وإرسال الأوامر أقواها، لأنه يحرّك شيئًا في العالم المادي. وتصميم الأدوار الجيد يفصل بين هذه الثلاث، بحيث يقرأ معظم الناس، ويضبط الإعدادات عدد أقل، ولا يرسل الأوامر إلا من يحتاجون إلى التصرف.

وينطبق المبدأ على الآلات أيضًا. لنأخذ برنامجًا نصيًا للتقارير ينسخ قراءات المستشعرات ليوم أمس إلى جدول بيانات كل صباح. إذا كان يعمل ببيانات اعتماد مسؤول النظام، وتسرّب ذلك الرمز المميز إلى مستودع شيفرة مشترك، فإن من يجده يستطيع تغيير الأتمتة وإرسال الأوامر. أما إذا كان يعمل بمفتاح للقراءة فقط يقتصر على القراءات، فإن التسرب نفسه يكشف البيانات لكنه لا يستطيع المساس بالمعدات.

وقد وضعت قائمة OWASP Top 10، أشهر تصنيف لمخاطر أمن تطبيقات الويب، خللَ التحكم في الوصول في المرتبة الأولى في إصدار 2021، وأبقته فيها في إصدار 2025. ومنصات إنترنت الأشياء تطبيقات ويب، لذا ينطبق الدرس عليها مباشرة.

ولتطبيق مبدأ الحد الأدنى من الصلاحيات على نشر قائم بالفعل، يمكنك العمل عليه بهذا الترتيب:

1. اكتب قائمة بكل حساب بشري وكل بيانات اعتماد لتكامل، بما فيها تلك التي لا يتذكر أحد إنشاءها.
2. اكتب جملة واحدة تصف الغرض من كل منها.
3. أزل كل صلاحية لا تتطلبها تلك الجملة.
4. افصل حقوق القراءة والإعداد والأوامر حيثما يسمح البرنامج بذلك.
5. حدد تاريخ انتهاء لحسابات المقاولين ومفاتيح التكامل.
6. كرر المراجعة بوتيرة ثابتة، كل ربع سنة مثلًا، وكلما انتهى مشروع أو عقد.

التحكم في الوصول القائم على الأدوار مقابل التحكم في الوصول القائم على السمات

يتخذ التحكم في الوصول القائم على السمات (ABAC) كل قرار انطلاقًا من سمات المستخدم والمورد والإجراء، وأحيانًا البيئة، بدلًا من الدور وحده. وقد نُشر دليل NIST للتحكم في الوصول القائم على السمات، المنشور الخاص 800-162، عام 2014. وتُقرأ سياسة ABAC النموذجية كجملة: «يجوز لجهة اتصال المستأجر عرض لوحات المعلومات الخاصة بالمبنى المدرج في ملفها الشخصي». وسياسة واحدة تحل محل أدوار المستأجرين البالغ عددها 40 في المثال السابق.

والمفاضلة هنا تتعلق بوضوح الرؤية. فمع RBAC، لسؤال التدقيق «من يستطيع إرسال الأوامر؟» إجابة بسيطة: كل من يحمل الأدوار التي تتضمن هذا الحق. أما مع ABAC، فالإجابة تعتمد على الجمع بين السياسات والسمات، لذا تكتسب الأدوات الجيدة أهمية كبيرة. ومن ناحية أخرى، يتعامل ABAC بصورة أفضل بكثير مع الأشكال التي تتخذها المؤسسات الحقيقية: مواقع كثيرة، وعملاء كثيرون، وأشخاص يملكون بعض الموارد ويكتفون بمراقبة غيرها.

وعمليًا، تمزج معظم الأنظمة الحديثة بين الاثنين. فتبقى الأدوار تسميات مقروءة، بينما تحدد سمات مثل المؤسسة والملكية والموقع النطاق الدقيق. وإذا كنت تختار نموذجًا لنشر آخذ في النمو، فالسؤال المفيد هو: هل يتيح لك النظام تضييق الوصول حسب الموقع أو العميل دون اختراع دور جديد في كل مرة؟

ما هو التحكم في الوصول في إنترنت الأشياء؟

لعبارة «التحكم في الوصول في إنترنت الأشياء» معنيان، لذا يجدر الفصل بينهما. ففي قطاع أمن المباني، تعني التحكم في الدخول المادي: قارئات البطاقات، ووحدات التحكم في الأبواب، والأنظمة التي تقرر من يستطيع دخول غرفة. أما هذا المقال فيستخدم المعنى الآخر: التحكم في من يستطيع، وما يستطيع، الوصول إلى الأجهزة المتصلة وبياناتها وعناصر التحكم فيها.

ولهذا النوع الثاني من التحكم في الوصول طبقات أكثر مما في تطبيق مكتبي. فكل جهاز يحتاج إلى هويته ومفاتيحه الخاصة، حتى لا يفتح مفتاح مسروق واحد الأسطول كله. فإذا كان 200 مستشعر يتشارك مفتاحًا واحدًا، ونُزعت وحدة واحدة عن جدار وقُرئ محتواها، تنكشف الوحدات الـ200 كلها؛ أما مع مفتاح لكل جهاز، فيتوقف الضرر عند تلك الوحدة. والشبكة تقرر أي الأنظمة تستطيع التواصل مع الأجهزة أصلًا. والمنصة تقرر أي الأشخاص يستطيعون رؤية القراءات أو تعديل الأتمتة أو إرسال الأوامر. والتكاملات والبرامج النصية تحتاج إلى بيانات اعتماد خاصة بها محددة النطاق. وعلى نحو متزايد، صار وكلاء الذكاء الاصطناعي يستعلمون عن الأجهزة ويرسلون إليها الأوامر نيابة عن شخص ما، وهذا لا يبقى آمنًا إلا حين يُقيَّد الوكيل بصلاحيات ذلك الشخص بدلًا من أن يحصل على مفتاح رئيسي.

والتحكم في الوصول هو أيضًا أداة العمل الرئيسية لخصوصية بيانات إنترنت الأشياء. فقراءات المستشعرات تبدو غير ضارة، لكنها تصف السلوك. بيانات الإشغال والأبواب تُظهر متى يكون المكتب فارغًا. وسجل جهاز تتبع GPS يُظهر أين تبيت مركبة ليلًا، وكثيرًا ما يعني ذلك أين يسكن سائقها. واللائحة العامة لحماية البيانات في الاتحاد الأوروبي (GDPR) تطلب في مادتها 25 حماية البيانات افتراضيًا، بما في ذلك ألا تُتاح البيانات الشخصية لعدد غير محدد من الأشخاص دون تدخل صاحبها. وفي نشر متصل، يُترجم ذلك مباشرة إلى من يستطيع فتح أي لوحة معلومات وأي سجل.

ما هي منصة إنترنت الأشياء متعددة المستأجرين؟

منصة إنترنت الأشياء متعددة المستأجرين تخدم عدة عملاء منفصلين، أو مستأجرين، من تثبيت واحد، مع إبقاء أجهزة كل مستأجر وبياناته ومستخدميه منفصلة عن غيره. ويقع حد المستأجر خارج كل الأدوار: فمدير المنشأة لدى أحد المستأجرين لا ينبغي أن تكون لديه أي وسيلة حتى لاكتشاف وجود مستأجر آخر.

وقبل أن تعتمد على حد المستأجرين في أي منصة، اختبره بنفسك. أنشئ مستأجرَين، وامنح حساب اختبار دورًا في الأول فقط، وتأكد من أن شيئًا من الثاني لا يظهر في أي مكان، بما في ذلك نتائج البحث واستجابات واجهة البرمجة (API).

وثلاث فئات تعتمد على ذلك. فمُكاملو الأنظمة يديرون عمليات نشر لعملاء كثيرين، ويحتاجون إلى التنقل بينها دون خلط البيانات. ومديرو العقارات كثيرًا ما يخدمون عدة ملاك يجب أن تبقى مبانيهم منفصلة. ومصنّعو العتاد يشغّلون أحيانًا منصة نيابة عن عملائهم. والثلاثة جميعًا يقضون يوم عملهم في التنقل بين المستأجرين: أجهزة عميل في الصباح، وأجهزة آخر بعد الغداء، ويُفضَّل أن يكون ذلك دون تسجيل دخول منفصل لكل منهم، ومع الصلاحيات الصحيحة في كل مكان.

ما هي أفضل منصة إنترنت أشياء متعددة المستأجرين؟

لهذا النوع من العمل، أفضل منصة هي التي يتبع فيها حد المستأجر، وصلاحيات كل شخص، وبيانات اعتماد كل برنامج نصي، نموذجًا واحدًا متسقًا. وKilo هي الخيار الأفضل لمُكامل أو مدير عقارات في هذا الموقف، بفضل ثلاثة أمور تستخدمها فيها كل يوم.

في Kilo، الوحدة التي تفصل نشر عميل عن نشر آخر هي المؤسسة. ويمكن لحساب واحد أن ينتمي إلى عدة مؤسسات وينتقل بينها، فتنتقل من نشر عميل إلى التالي دون تسجيل دخول ثانٍ، وما تستطيع فعله يعتمد على عضويتك في المؤسسة التي تعمل فيها.

وداخل المؤسسة، تضبط Kilo الوصول لكل صفحة بدلًا من محدد أدوار واحد. فالصفحات مثل Devices وRules وConnectors وSubscription وManage Users تحصل كل منها على Edit أو View أو No access لكل شخص، والقرار قائم على السمات، إذ يأخذ في الحسبان العضوية والملكية وتلك الصلاحيات المسندة. فيمكن أن يحصل فني التركيب على Edit في Devices وNo access في Subscription، بينما تحصل جهة اتصال لدى العميل على View في الصفحات التي تحتاجها ولا شيء غيرها. وتعرض صفحة أمن إنترنت الأشياء نموذج الصلاحيات كاملًا، بما في ذلك المؤسسات وسجل التدقيق.

وتحصل البرامج النصية والتكاملات في Kilo على مفاتيح API خاصة بها بدلًا من حسابات دخول مستعارة. فالمفتاح مرتبط بمؤسسة واحدة، ومحدد النطاق لكل مجال، وعادةً بنطاقَي Read وWrite منفصلين، ولا يمنح شيئًا حتى تختار النطاقات، ويمكن أن يحمل تاريخ انتهاء. وتدوير المفتاح يعطّل القيمة القديمة فورًا، لذا يمكن لبرنامج التقارير النصي من مثال الحد الأدنى من الصلاحيات أن يعمل بنطاقات Read فقط، وتدوير مفتاحه يقطع أي نسخة مسرّبة على الفور.

أسئلة شائعة عن التحكم في الوصول القائم على الأدوار

ما القواعد الثلاث للتحكم في الوصول القائم على الأدوار؟

تحدد ورقة NIST الأصلية لعام 1992 ثلاث قواعد. إسناد الدور: لا يستطيع المستخدم تنفيذ معاملة إلا بعد اختيار دور أو إسناد دور إليه. تفويض الدور: يجب أن يكون الدور النشط للمستخدم دورًا مخوّلًا له. تفويض المعاملة: لا يستطيع المستخدم تنفيذ معاملة إلا إذا كانت مخوّلة لدوره النشط. وكثيرًا ما تسمي الأوصاف اللاحقة القاعدة الثالثة تفويض الصلاحية.

ما المكونات الرئيسية للتحكم في الوصول القائم على الأدوار؟

يحدد المعيار ANSI INCITS 359-2004 أربعة مكونات: RBAC الأساسي، وRBAC الهرمي، والفصل الثابت والفصل الديناميكي بين المهام. ويعني الفصل الثابت بين المهام أنه لا يمكن أبدًا إسناد دورين متعارضين إلى الشخص نفسه؛ أما الديناميكي فيعني أن الشخص قد يحمل الدورين كليهما، لكنه لا يستطيع تفعيلهما في الجلسة نفسها.

هل مبدأ الحد الأدنى من الصلاحيات هو نفسه الثقة الصفرية؟

لا، لكن الثقة الصفرية تعتمد عليه. فالمنشور الخاص 800-207 من NIST، الصادر عام 2020، يعرّف الثقة الصفرية بأنها نهج لا يُوثق فيه بأي طلب بسبب موقعه في الشبكة، وتجري فيه مصادقة كل وصول وتفويضه لكل جلسة. ومبدأ الحد الأدنى من الصلاحيات أحد مبادئها الأساسية، ويُطبَّق على كل جلسة من تلك الجلسات.

هل يساعد التحكم في الوصول القائم على الأدوار في الامتثال للائحة GDPR؟

يساعد، لكن اللائحة العامة لحماية البيانات لا تسمي نموذجًا بعينه. فالمادة 32 تتطلب تدابير تقنية وتنظيمية مناسبة لأمن المعالجة، وتقييد من يستطيع رؤية البيانات الشخصية من أوضح هذه التدابير من حيث سهولة التوثيق.

لترى مبدأ الحد الأدنى من الصلاحيات من الجهة الأخرى، أنشئ بيئة اختبار صغيرة على الخطة المجانية في Kilo. فهي المنصة الكاملة لا نسخة تجريبية مؤقتة، وتغطي ما يصل إلى خمسة أجهزة ولوحة معلومات واحدة وقاعدة واحدة، ولا تحتاج إلى بيانات دفع، ولا تنتهي صلاحيتها أبدًا. سجّل بضعة مستشعرات، أو أجهزة محاكاة تولّد قراءاتها بنفسها ريثما يصل العتاد، وضعها على لوحة المعلومات، وادعُ زميلًا لديه حساب Kilo خاص به بالفعل، مع View على Dashboards وNo access على Devices وRules. ثم اطلب منه تسجيل الدخول وإخبارك بالضبط بما يستطيع الوصول إليه وما لا يستطيع. وإذا ظهر شيء لا ينبغي أن يظهر، فغيّر إعداد تلك الصفحة وحدها واطلب منه التحقق مجددًا.