Здравствуйте!

Есть 3 сущности:
1. Роль.
2. Объект доступа.
3. Подгруппы доступа.

Каждой роли можно назначить маску прав (int-число) на объект доступа.
Каждой роли можно назначить маску прав на подгруппу доступа.
При этом нужно отразить, что объекты и подгруппы связаны отношением один-ко-многим (в одном объекте может быть несколько подгрупп).

Например:
Роль "Менеджер по продажам" имеет маску "RW" на объект "Товары".
Роль "Менеджер по продажам" имеет маску "RWU" на подобъект "Телевизоры" и маску "R" на подобъект "Кониционеры".
При этом объект "Товары" является родительским по-отношению к подобъектам "Телевизоры" и "Кондиционеры".

Как отразить в модели данных отношения объектов с подобъектами и, одновременно, назначение масок прав для роли на эти объекты и подгруппы?

Вот что у меня получилось:
[img=]

Есть ли способ оптимизировать эту схему, или все и так идеально?

* "подобъекты" = "подгруппы"

spsvnvlad,

а еще есть группы юзеров - по интересам, по производственным функция, по уровню могущества...
Это другое. Я присваиваю юзерам набор ролей, большего не требуется в данном случае.

Здесь вопрос в том, что Идентификатор объекта - это короткая строка, типа "Price", "Valutes" и т.д.
Если убрать description и совсем избавиться от таблицы object, а маску присваивать сразу в таблице role_object.
Аналогично избавиться от таблицы group, маску присваивать в таблице role_group. Тогда теряется взаимоотношение объектов и подгрупп, а нужно ли оно вообще...

И получается вот такое малопонятное, но компактное безобразие )

...и отношение объектов с подгруппами вроде не теряется.

SERG1257,
планируется при входе пользователя в систему читать матрицу прав доступа, соответствующую данному пользователю и его роли, в массив в памяти, и в процессе работы права будут определяться мнговенно, так что время чтения из базы не так критично.