Иерархия ролей

В управлении доступом на основе ролей иерархия ролей определяет отношения наследования между ролями. Например, ролевая структура банка может рассматривать всех сотрудников как членов роли «сотрудник». Выше этого могут быть роли «руководитель отдела» и «бухгалтер», которые наследуют все разрешения роли «сотрудник», а выше «руководитель отдела» может быть «менеджер по сбережениям», «менеджер по кредитам».

Модели RBAC обычно рассматривают иерархию ролей либо как дерево (теория множеств) , как в модели RBAC 1992 года Феррайоло и Куна (ФК), либо как частично упорядоченный набор в рамках RBAC 1996 года Сандху, Койна, Файнштейна и Юмана ( СКФИ). С точки зрения объектно-ориентированного программирования иерархия ролей дерева представляет собой одиночное наследование, тогда как частичная иерархия допускает множественное наследование. Если рассматривать его как частичный порядок, приведенный выше пример иерархии ролей можно расширить до такой роли, как «руководитель филиала», чтобы наследовать все разрешения «менеджера по сбережениям», «менеджера по кредитам» и «бухгалтера».

такие ограничения, как разделение обязанностей Осложнения могут возникнуть, когда между ролями существуют . Если разделение обязанностей использовалось для того, чтобы запретить сотрудникам одновременно выполнять роли «кредитного менеджера» и «бухгалтера», то «менеджер филиала» не мог наследовать разрешения от них обоих. Модель NIST RBAC , которая объединила модели FK и SCFY, рассматривает иерархию ролей как частичный порядок, хотя продукты RBAC не вышли за рамки иерархии с древовидной структурой.