6-mavzu: Роллар тизимини иерархик ташкил этишда ахборотдан фойдаланишни роллар асосида чеклаш модели

Взаимоисключающие роли {статическое распределение обязанностей)
Особенностью некоторых предметных областей является запрет на предоставление определенного набора прав или полномочий в совокупно­сти одному работнику. Подобные ограничения призваны усилить безопас­ность путем уменьшения вероятности злоумышленных действий по набо­рам некоторых связанных критических процессов и процедур. Если дан­ные процедуры могут выполняться только разными работниками, то для осуществления злоумышленных действий потребуется сговор соответствующих работников. Вероятность подобного (злоумышленного) развития ситуации в случае, когда все соответствующие права и полномочия имеет один человек существенно выше¹.
¹В этом плане можно привести пример запрета занятия одним лицом одновременно трех высших долж­ностей в советском государстве - высшей партийной должности, высшей должности в исполнительной власти и высшей должности в законодательной ветви власти.

В формальном плане данный подход требует отображения множест­ва ролей на множество подмножеств "несовместимых" ролей. При реали­зации подобного подхода положения и спецификации ролевой модели до­полняются специальной функцией , которая для каждой роли за­дает набор несовместимых с ней ролей.

С учетом возможной несовместимости ролей на отображение . накладывается следующее ограничение:
если ■
Если трактовать роль пользователя в КС как аналог служебной должности, то вырожденным, но повсеместно распространенным вариан­том данного подхода является запрет назначения одному пользователю бо­лее двух ролей (нельзя исполнять сразу две должности по основному месту работы на постоянной основе).
Заметим также, что с формальной точки зрения запрет назначения пользователям взаимоисключающих ролей касается не собственно пользо­вателей, а их учетных записей в КС. В результате часть элементов кон­трольно-ограничительных процедур в данной модели лежит вне компью­терной сферы, в частности, в запрете одному пользователю иметь несколь­ко различных учетных записей в КС.