Вы должны использовать списки ACL (или эквивалентный механизм полномочий пользователя, такой как буквальная таблица пользователей и таблицы разрешений), а не группы, если вам нужно управлять доступом к отдельным объектам , которые динамически изменяются .Файловые системы прикрепляют списки ACL к отдельным файлам, поскольку вы не хотите создавать отдельную группу для каждого файла.Менеджеры баз данных присоединяют ACL к базам данных, таблицам, представлениям, хранимым процедурам и тому подобному по той же причине.Веб-серверы обрабатывают веб-приложения таким же образом.
В бизнес-приложении, имеющем дело с бизнес-объектами, вы можете разделить доступ к таким объектам, как, например, различные заказы на продажу, клиенты, продукты или подразделения в вашей компании, где не всем разрешено создавать / обновлять или дажечитать те же сущности.Например, когда продавцы находятся в прямой конкуренции за бонусы, они не хотят, чтобы все остальные видели всю информацию о своих CRM-сохраненных перспективах.
Однако обычно вы хотите, чтобы ваши механизмы доступа были как можно более грубыми: группы обычно достаточно хороши.Мелкозернистые механизмы контроля доступа имеют тенденцию становиться сложными, дорогими, неточными и трудными в использовании.Они могут даже снизить безопасность, поскольку административное разочарование побуждает людей находить умные обходные пути ...