Rol modelida huquq odamga emas, lavozim yoki ish vazifasiga biriktiriladi, odam esa rolga qoʻshiladi. Bu huquqlarni boshqarishni osonlashtiradi, chunki rolning ruxsatlari kam oʻzgaradi, xodimlar esa tez-tez almashadi. Xavf shundaki, har bir istisno uchun yangi rol ochilsa, rollar soni foydalanuvchilar soniga yaqinlashadi. Buning oldini olish uchun rollar ish vazifasiga bogʻlanadi, umumiy huquqlar meros qilib beriladi, sharoit esa alohida qoidaga ajratiladi.
Gipotetik holat. Yetmish xodimli savdo kompaniyasi dasturni ishga tushirganda uchta rol yaratdi: sotuvchi, omborchi va rahbar. Ikki yildan keyin rollar soni ellik toʻrttaga yetdi, chunki har yangi soʻrov alohida rol boʻlib qoʻshilgan edi. Masalan, Chirchiq filiali sotuvchisi chegirmalarni ham koʻra olsin, omborchi esa faqat qaytarilgan tovar bilan ishlasin. Endi hech kim qaysi rol aniq nima qila olishini bilmaydi, xodim ketganda esa uning huquqlarini yigʻib olishning oʻzi alohida ish.
Rol nima va nega u huquqni boshqarishni osonlashtiradi
Rol deganda lavozim yoki ish vazifasiga mos ruxsatlar toʻplami tushuniladi. Sandhu va hammualliflar 1996 yilda rolni bir tomondan foydalanuvchilar toʻplami, ikkinchi tomondan ruxsatlar toʻplami deb taʼriflagan. Demak, odam huquqni toʻgʻridan-toʻgʻri olmaydi: u rolga qoʻshiladi, ruxsatlar esa rolning oʻziga biriktirilgan.
Bundan oddiy amaliy foyda chiqadi. Rolning ruxsatlari kamdan-kam oʻzgaradi, odamlar esa tez-tez kelib ketadi, shuning uchun yangi xodimga ruxsatlarni bittalab emas, tayyor rolni berish yetarli. Xodim boʻlim almashtirsa, bitta rol boshqasiga almashtiriladi. NIST sahifasida ham shu mantiq yozilgan: xavfsizlik tashkilot tuzilmasiga yaqin darajada boshqariladi.
Gʻoya yangi emas. Ferraiolo va Kuhn modelni 1992 yilda rasmiylashtirgan, Sandhu guruhi 1996 yilda uni modellar oilasi sifatida tasvirlagan, 2004 yilda esa AQShda milliy standart qabul qilingan. Xuddi shu sahifada RTI International hisobotiga tayanib yozilgan: 2010 yilga kelib 500 va undan koʻp xodimli korxonalarning koʻpchiligi shu modeldan foydalangan. Loyiha sahifasi arxivlangan, ammo NIST ning hozirgi xavfsizlik katalogi rolga asoslangan sxemani hamon alohida tilga oladi.
Rol bilan guruhni aralashtirmaslik kerak. NIST ning savol-javob sahifasida farq shunday izohlanadi: guruh odatda foydalanuvchilar toʻplami, rol esa ruxsatlar toʻplami. Rol modelida kirish faqat rollar orqali beriladi, ruxsat esa odamga toʻgʻridan-toʻgʻri biriktirilmaydi. Shu qoida buzilsa, har xodimga qoʻlda qoʻshilgan huquqlar paydo boʻladi va matritsa haqiqatni aks ettirmay qoladi.
Xodim boʻlim almashtirsa nima boʻladi
Gipotetik misol. Sotuv menejeri Dilnoza xarid boʻlimiga oʻtdi. Rol modeli boʻlmasa, administrator uning har bir ruxsatini koʻrib chiqib, keraksizini olib tashlashi va yangisini qoʻshishi kerak. Bunday qoʻlda ishda xato oson oʻtadi: eski huquq qoladi, yangisi qoʻshiladi va bir odamda sotuv ham, xarid ham huquqi toʻplanadi. Rol modelida ish bitta qadamga tushadi: Dilnoza sotuvchi roldan chiqariladi va xarid menejeri roliga qoʻshiladi.
NIST ning hisoblarni boshqarish bandi aynan shu holatni nazarda tutadi: xodim ishdan ketsa yoki boshqa vazifaga oʻtsa, hisoblar uchun masʼul kishilar xabardor qilinadi. Agar bu xabar kadrlar hujjati bilan bogʻlangan boʻlsa, eski huquq qolib ketish xavfi sezilarli kamayadi.
Rol matritsasi: obyekt va harakatdan boshlang
Rol matritsasi oddiy jadval: qatorlarda rollar, ustunlarda hujjat turlari, kataklarda esa ruxsat etilgan harakatlar turadi. Avval obyektlar sanaladi, yaʼni buyurtma, hisob-faktura, toʻlov, mijoz kartochkasi va ombor harakati. Keyin harakatlar yoziladi: koʻrish, yaratish, oʻzgartirish, tasdiqlash va oʻchirish. Oxirida rollar tuziladi va har bir katak toʻldiriladi.
| Rol | Buyurtma | Hisob-faktura | Toʻlov | Mijoz kartochkasi |
|---|---|---|---|---|
| Sotuvchi | yaratadi, oʻzinikini oʻzgartiradi | oʻzinikini koʻradi | yoʻq | koʻradi, yangisini qoʻshadi |
| Omborchi | koʻradi, yuklashni tasdiqlaydi | yoʻq | yoʻq | koʻradi |
| Hisobchi | koʻradi | yaratadi | tayyorlaydi | rekvizitni oʻzgartiradi |
| Moliya rahbari | koʻradi | koʻradi | tasdiqlaydi | koʻradi |
Jadval ikki ish qiladi. U kimga nima kerakligini ochiq koʻrsatadi va ortiqcha huquqni darrov ajratib beradi: hisobchida buyurtmani tasdiqlash katagi boʻsh qolsa, demak bu huquq unga kerak emas. Jadvalning oʻzi dasturni sozlash uchun texnik topshiriq ham boʻlib xizmat qiladi. Sotuv boʻlimi, omborxona va moliya rahbari uni birga koʻrib chiqsa, kim nimani qilishi haqidagi bahslar dastur sozlanmasdan oldin hal boʻladi, sozlangandan keyin esa ular yangi xatolarga aylanmaydi.
Sandhu maqolasidagi kuzatuv bu yerda foydali: ruxsatlarning rolga bogʻlanishi sekin oʻzgaradi, rol aʼzoligi esa tez. Demak, matritsa bir marta puxta yoziladi, keyin faqat odamlar rollar orasida koʻchiriladi. Agar matritsani har yangi xodim uchun qayta yozishga toʻgʻri kelsa, jadval notoʻgʻri tuzilgan.
Rollar nega koʻpayib ketadi
Rollar soni birdan oshmaydi. Har safar kimdir istisno soʻraydi va eng oson yoʻl topiladi: yangi rol ochish. NIST ning ABAC qoʻllanmasi bu holatni aniq tasvirlaydi. Rol qaror chiqarishda faqat bitta belgiga, yaʼni lavozimga tayanadi, shuning uchun joylashuv yoki maxsus oʻqitish kabi shartlar qoʻshilsa, tor doiradagi koʻplab maxsus rollar yaratishga toʻgʻri keladi. Hujjat buni «rollar portlashi» deb ataydi.
Oddiy hisob bilan koʻraylik, bu gipotetik. Kompaniyada toʻrtta lavozim, uchta filial va chegirma huquqining ikki darajasi bor. Har bir birikma uchun alohida rol ochilsa, 4 marta 3 marta 2, yaʼni yigirma toʻrtta rol chiqadi, beshinchi lavozim yoki toʻrtinchi filial qoʻshilsa esa son yana oʻsadi. Aslida lavozimlar toʻrtta edi, filial va chegirma darajasi esa rolga emas, sharoitga tegishli.
Tahririyat kuzatuviga koʻra, rollar koʻpayishining uchta oddiy sababi bor. Manbalarda bunday roʻyxat tayyor holda yoʻq, shuning uchun uni mulohaza sifatida oʻqing.
- Istisno: bitta odamning ishi uchun alohida rol ochiladi va keyin unutiladi.
- Vaqtincha huquq: oʻrinbosarlik yoki loyiha tugaydi, lekin rol qolib ketadi.
- Sharoit: filial, mijoz yoki summa chegarasi rolning nomiga kiritiladi.
Rollar sonini ushlab turishning toʻrt yoʻli
Quyidagi usullar manbalardagi mantiqdan chiqarilgan. Ularning har biri bitta savolga javob beradi: bu haqiqatan yangi vazifami yoki oddiy istisnomi.
- Rolni odamga emas, ish vazifasiga bogʻlang. Sandhu taʼrifida rol lavozim yoki ish vazifasidir, shuning uchun bitta aʼzoli rol koʻpincha rol emas, istisno.
- Umumiy ruxsatni pastki rolga yozing, yuqori rol uni meros qilib olsin. Sandhu modelida katta rol kichik rolning ruxsatlarini oladi, masalan shifokor tibbiy xodimning huquqlarini, shunda bir xil ruxsat ikki joyda takrorlanmaydi.
- Sharoitni rolga emas, qoidaga topshiring. Filial yoki summa chegarasi alohida rol emas, ruxsat berishning sharti, NIST esa bunday qarorlar uchun belgilarga asoslangan modelni yoʻnalish sifatida koʻrsatadi.
- Huquqlarni davriy koʻrib chiqing. NIST katalogi berilgan ruxsatlarni ular hali zarurligini tekshirishni va keraksizini qaytarib olishni talab qiladi.
Har rolning egasi boʻlishi kerak: uning ruxsatlarini kim oʻzgartirishi mumkin va kim bunga rozilik beradi. NIST ning hisoblarni boshqarish bandida ham hisob menejerlari tayinlanadi, rol aʼzoligi uchun shartlar belgilanadi va hisoblar belgilangan davrda tekshiriladi. Rolning hayot yoʻli ham yozib qoʻyiladi: kim, qachon va nega yaratdi, qachon yopiladi. Yopish sanasi yoʻq vaqtinchalik rol odatda abadiy qoladi.
Odoo 20 misoli: umumiy daraja va aniq huquq
Odoo 20 hujjati kirish huquqini bir necha qatlamda beradi. Birinchi qatlam foydalanuvchi turi: oddiy foydalanuvchi, administrator, yengil foydalanuvchi va portal. Hujjat buni rol deb ataydi va izohlaydi: rol umumiy kirish darajasini belgilaydi, aniq huquqlarni esa guruhlar beradi. Yengil foydalanuvchi cheklangan ishlaydi: shaxsiy maʼlumot, taʼtil va xarajat soʻrovi kabi ishlarga ruxsat bor, Sotuv, Xarid va Buxgalteriya kabi asosiy ilovalar esa yoʻq.
Ikkinchi qatlam har ilova uchun daraja tanlashdir: ruxsat yoʻq, faqat oʻz hujjatlari, barcha hujjatlar yoki administrator. Bu darajalar rollar sonini kamaytiradi. Sotuvchi va sotuv boʻlimi rahbari uchun ikki alohida rol shart emas: ikkalasi ham sotuv ilovasida ishlaydi, faqat birida «oʻz hujjatlari», ikkinchisida «barcha hujjatlar» tanlanadi. Bu gipotetik misol, darajalarning oʻzi esa hujjatdagidek.
Uchinchi qatlam texnik koʻrinish. Dasturchi rejimida tanlangan guruhlar va avtomatik qoʻshilgan guruhlar alohida roʻyxatda turadi. Hujjat misol keltiradi: sotuv administratori huquqini tanlash tayyor javoblar administratori huquqini ham olib keladi. Bu rol merosining oʻzi. Hujjat ogohlantiradi ham: tanlangan guruhlardan birini olib tashlash avtomatik qoʻshiladigan guruhlarni oʻzgartiradi, huquqlarni notoʻgʻri oʻzgartirish esa bazaga zarar yetkazishi mumkin.
Atamalarda chalkashlik bor. Odoo da «rol» foydalanuvchi turini bildiradi, rol modelidagi rolning vazifasini esa koʻpincha guruhlar bajaradi. Bu tahririyat kuzatuvi: rol matritsasi tuzilayotganda ikki xil «rol» ni aralashtirib yubormaslik kerak.
Imtiyozli rollarga alohida eʼtibor
NIST katalogida imtiyozli rol deb tashkilot belgilaydigan va oddiy foydalanuvchiga ruxsat etilmagan xavfsizlik ishlarini bajarishga imkon beradigan rol aytiladi. Misollar: kalitlarni boshqarish, hisoblarni boshqarish, bazani va tarmoqni administratsiya qilish. Bunday rollarning tayinlanishi va oʻzgarishi kuzatiladi, kerak boʻlmay qolsa huquq qaytarib olinadi.
Matritsada bu rollar alohida belgilangani maʼqul, chunki ularning soni kam, xatosining oqibati esa katta. Imtiyozli rolni vaqtincha bergan kishi muddatni ham yozib qoʻyishi kerak, aks holda vaqtinchalik huquq doimiyga aylanadi. Kichik kompaniyada administrator huquqi bitta odamda boʻlishi tabiiy, shunda ham uning harakatlarini boshqa odam koʻrib chiqishi kerak, chunki ruxsatlarni oʻzgartira oladigan kishi oʻz izini oʻzi tekshirsa, nazorat nomigagina qoladi.
Amalda nima qilish mumkin
Bu qadamlar manbalardagi mantiqdan chiqarilgan tahririyat xulosasi, tayyor protokol emas.
- Hozirgi rollar roʻyxatini chiqaring va har birining nechta aʼzosi borligini yozing, chunki bitta aʼzoli rollar istisno boʻlishi mumkin.
- Lavozimlar boʻyicha obyekt va harakat jadvalini tuzing va har katakda bitta savol bering: bu harakat ishi uchun kerakmi.
- Filial va summa chegarasi kabi sharoitlarni alohida ustunga chiqaring va rol nomiga kiritmang.
- Har rol uchun masʼul odam belgilang, rolning ruxsatlarini oʻzgartirish esa uning roziligi bilan amalga oshirilsin.
- Har chorakda rollar va aʼzolikni koʻrib chiqing, ishlatilmayotganlarini yoping.
Rol matritsasi huquqlarni bir varaqda koʻrinadigan qiladi, ammo uning kuchi rollar soni kam va tushunarli boʻlganida saqlanadi. Har yangi rol oldidan oddiy savol beriladi: bu haqiqatan yangi vazifami yoki oldingi rolga qoʻshilgan istisnomi?
Asosiy atamalar
- Rol
- Lavozim yoki ish vazifasiga mos ruxsatlar toʻplami. Odam rolga qoʻshiladi va uning huquqlarini oladi.
- Ruxsat
- Aniq bir harakatni bajarish huquqi, masalan buyurtmani koʻrish yoki toʻlovni tasdiqlash.
- Rol matritsasi
- Jadval: qatorlarda rollar, ustunlarda hujjat turlari, kataklarda ruxsat etilgan harakatlar.
- Rollar portlashi
- Rollar soni nazoratsiz oʻsib, boshqarib boʻlmaydigan darajaga yetishi. Odatda har istisno uchun yangi rol ochilganda yuz beradi.
- Rol merosi
- Yuqori rolning pastki rol ruxsatlarini avtomatik olishi. Bir xil ruxsat ikki joyda takrorlanmaydi.
- Imtiyozli rol
- Oddiy foydalanuvchiga ruxsat etilmagan ishlarni bajarishga imkon beradigan rol, masalan hisoblarni yoki bazani boshqarish.
- Eng kam imtiyoz
- Xodimga faqat ishi uchun zarur huquqlarni berish tamoyili. Ortiqcha huquq xavfni oshiradi.
- Atribut
- Odam yoki hujjatning belgisi, masalan filial, summa chegarasi yoki oʻquv kursidan oʻtganligi. Qaror shu belgilarga qarab chiqariladi.
- Foydalanuvchi turi
- Odoo da kirishning umumiy darajasi: oddiy, administrator, yengil yoki portal foydalanuvchisi.
- Guruh
- Odoo da aniq huquqlar toʻplami. Rol modelidagi rolning vazifasini koʻpincha shu guruhlar bajaradi.
Manbalar
Maqola quyidagi manbalarga tayanadi:
- R. S. Sandhu, E. J. Coyne, H. L. Feinstein, C. E. Youman. Role-Based Access Control Models. IEEE Computer, 29(2), 1996, 38–47. DOI 10.1109/2.485845. Iqtiboslar OCR nusxasidan olingan. https://doi.org/10.1109/2.485845 (koʻrilgan: 16-oktabr, 2026)
- NIST Computer Security Resource Center. Role Based Access Control, loyiha sahifasi (arxivlangan): tarix, standart, nashrlar roʻyxati. https://csrc.nist.gov/projects/role-based-access-control (koʻrilgan: 16-oktabr, 2026)
- V. C. Hu va boshq. NIST SP 800-162, Guide to Attribute Based Access Control (ABAC) Definition and Considerations. 2014 yil yanvar, 2019 yil 2 avgustdagi yangilanishlar bilan. 2.1-boʻlim. DOI 10.6028/NIST.SP.800-162. https://doi.org/10.6028/NIST.SP.800-162 (koʻrilgan: 16-oktabr, 2026)
- NIST SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations. Boʻlimlar AC-2, AC-2(7), AC-6(7); matn NIST OSCAL katalogidan (5.2.0 versiyasi). https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final (koʻrilgan: 16-oktabr, 2026)
- NIST Computer Security Resource Center. Role Based Access Control, Frequently Asked Questions: rol va guruh farqi, rol ierarxiyasi, vazifalarni ajratish. https://csrc.nist.gov/projects/role-based-access-control/faqs (koʻrilgan: 16-oktabr, 2026)
- Odoo S.A. Access rights. Odoo 20.0 documentation, User Docs, General, Users. https://www.odoo.com/documentation/20.0/applications/general/users/access_rights.html (koʻrilgan: 16-oktabr, 2026)