ABAC Attribute-Based Access Control
Modelo de autorización en el que las decisiones se basan en atributos del usuario, del recurso y del contexto — más flexible que RBAC, pero más difícil de razonar.
Ejemplo: "permitir si user.department == doc.department Y now.time está dentro del horario laboral Y request.ip viene de la red corporativa". Estandarizado mediante XACML (basado en XML, muerto en la práctica). Implementaciones modernas: OPA/Rego, condiciones de AWS IAM, Cedar (AWS), Casbin. Contrapartida: RBAC es fácil de auditar ("¿qué puede hacer Bob?"), ABAC exige simular las políticas para entenderlo.