ABAC（属性ベースアクセス制御）
ユーザー・リソース・状況の属性に基づいて可否を決める認可モデル。RBACより柔軟だが、挙動を把握するのは難しい。
例：「user.department == doc.department かつ now.time が勤務時間内、かつ request.ip が社内ネットワークなら許可」。XACML（XMLベースだが実務ではほぼ廃れた）として標準化されている。現代の実装にはOPA/Rego、AWS IAMの条件、Cedar（AWS）、Casbinがある。トレードオフとして、RBACは「Bobは何ができるか」を監査しやすいが、ABACは何が許されるかを知るのにポリシーのシミュレーションが必要になる。