L'autorizzazione basata sulle relazioni è un modello di controllo degli accessi che decide i permessi in base ai collegamenti tra utenti, risorse e ruoli. Invece di controllare solo un nome di ruolo statico, il sistema verifica se un utente è collegato a un oggetto tramite una relazione consentita, come proprietario, membro, editor o delegato. Questo approccio è comune nei sistemi di autorizzazione a grana fine perché può rappresentare le regole aziendali reali in modo più naturale rispetto al semplice controllo degli accessi basato sui ruoli.
Nella sicurezza informatica, questo è importante perché le relazioni sono spesso la vera fonte dell'accesso nelle app cloud, nelle piattaforme SaaS e nei servizi multi-tenant. Gli aggressori possono tentare di sfruttare appartenenze a gruppi obsolete, regole di condivisione troppo ampie o controlli delle relazioni errati per raggiungere dati che non dovrebbero vedere. I difensori usano grafi delle relazioni, motori di policy e registri di audit per mantenere i permessi coerenti, testare in modo sicuro le modifiche e rimuovere gli accessi non intenzionali. Se progettato bene, questo modello supporta un principio del privilegio minimo scalabile senza incorporare la logica di autorizzazione in ogni percorso dell'applicazione.