ABAC Attribute-Based Access Control
Modello di autorizzazione in cui le decisioni si basano sugli attributi di utente, risorsa e contesto — più flessibile dell'RBAC, ma più difficile da analizzare.
Esempio: «consenti se user.department == doc.department E now.time rientra nell'orario di lavoro E request.ip proviene dalla rete aziendale». Standardizzato con XACML (basato su XML, nella pratica morto). Implementazioni moderne: OPA/Rego, le condizioni di AWS IAM, Cedar (AWS), Casbin. Il compromesso: l'RBAC è facile da verificare («cosa può fare Bob?»), l'ABAC richiede di simulare le policy per capire cosa succede.