Le autorizzazioni basate sui ruoli sono un modello di controllo degli accessi in cui i privilegi vengono assegnati ai ruoli invece che ai singoli account. Un utente, un servizio o un agente IA ottiene le autorizzazioni necessarie per il proprio lavoro venendo inserito in un ruolo come visualizzatore, operatore, approvatore o amministratore. Questo semplifica la gestione degli accessi su larga scala e aiuta a far rispettare il principio del privilegio minimo.
Nel campo della sicurezza informatica, le autorizzazioni basate sui ruoli sono importanti perché limitano fino a che punto può spingersi un account compromesso. Se il phishing o un malware sottraggono credenziali con privilegi bassi, l'attaccante non dovrebbe ottenere automaticamente l'accesso ai sistemi di produzione, ai dati sensibili o alle API amministrative. Nel software cloud ed enterprise moderno, sono inoltre fondamentali per i flussi di lavoro agentici: gli strumenti di automazione dovrebbero avere ruoli ristretti, passaggi di approvazione espliciti e azioni facili da verificare. I difensori utilizzano revisioni dei ruoli, separazione dei compiti e verifiche periodiche delle autorizzazioni per ridurre l'eccesso di provisioning e prevenire l'escalation dei privilegi.