Así que he estado leyendo sobre MAC vs DAC vs RBAC y hay algo que no entiendo. En todos los lugares que lees, te dice que estos tipos son diferentes (desunidos) pero que RBAC no es solo un tipo (implementación) de MAC?
De lo que recojo, MAC es una política de control genérica en la cual el administrador administra todos los derechos de acceso. En RBAC, los derechos se asignan a roles pero, en última instancia, los administradores aún administran los roles, ¿no? El administrador decide qué usuario tiene qué función y él también es el que puede cambiar el permiso para todas las funciones, por lo que, en última instancia, el administrador sigue siendo el que administra todos los derechos de acceso, ¿correcto?
También he visto este video en YouTube Implementando el ejemplo de MAC , y este modelo funcionó como tal: datos se clasificó en categorías según su sensibilidad (es decir, alto secreto, secreto, confidencial, etc.) y la empresa se dividió en departamentos. El control de la cuenta se implementó como un conjunto de etiquetas L = (nivel de sensibilidad, departamento) lo que significa que los usuarios de ese departamento tienen derechos sobre los archivos de ese nivel de sensibilidad. Ejemplo muy básico, lo sé, pero no entiendo en qué se diferencia de RBAC. El departamento de un usuario es básicamente su función y las etiquetas muestran qué derechos tiene cada uno de los departamentos. Honestamente, si me preguntaran "qué tipo de control de cuenta se presentó en el video", respondería a RBAC, pero el video dice que presenta MAC.
¿Puede alguien arrojar algo de luz sobre qué difiere exactamente entre los dos y por qué uno no es solo una subcategoría del otro?
Gracias de antemano.