ABAC
Model autoryzacji, w którym decyzje zależą od atrybutów użytkownika, zasobu i kontekstu — elastyczniejszy niż RBAC, ale trudniejszy do przeanalizowania.
Przykład: „zezwól, jeśli user.department == doc.department ORAZ now.time mieści się w godzinach pracy ORAZ request.ip pochodzi z sieci firmowej”. Ustandaryzowany jako XACML (oparty na XML, w praktyce martwy). Nowoczesne implementacje: OPA/Rego, warunki AWS IAM, Cedar (AWS), Casbin. Kompromis: RBAC łatwo audytować („co może Bob?”), ABAC wymaga symulacji polityk, by zrozumieć skutki.