Constraints such as separation-of-duty are widely used to specify requirements that supplement basic authorization policies. However, the existence of constraints (and authorization policies) may mean that a user is unable to fulfill her/his organizational duties because access to resources has been denied. In short, there is a tension between the need to protect resources (using policies and constraints) and the availability of resources. Recent work on workflow satisfiability and resiliency in access control asks whether this tension compromises the ability of an organization to achieve its objectives. In this paper, we develop a new method of specifying constraints which subsumes much related work and allows a wider range of constraints to be specified. The use of such constraints leads naturally to a range of questions related to “policy existence”, where a positive answer means that an organization's objectives can be realized. We analyze the complexity of these policy existence questions and, for particular sub-classes of constraints defined by our language, develop fixed-parameter tractable algorithms to solve them.11.An extended abstract of this paper appeared in the Proceedings of the Seventh ACM Conference on Data and Application Security and Privacy [1]. Research was partially supported by Leverhulme Trust grant RPG-2018-161 and Royal Society Wolfson Research Merit Award.

中文翻译：

---

授权策略存在问题

职责分离等约束被广泛用于指定补充基本授权策略的要求。然而，约束（和授权策略）的存在可能意味着用户无法履行她/他的组织职责，因为对资源的访问被拒绝。简而言之，保护资源的需要（使用政策和约束）与资源的可用性之间存在紧张关系。最近关于访问控制中工作流可满足性和弹性的工作询问这种紧张是否会损害组织实现其目标的能力。在本文中，我们开发了一种指定约束的新方法，该方法包含许多相关工作并允许指定更广泛的约束。使用此类约束自然会导致一系列与“政策存在”相关的问题，其中肯定的答案意味着可以实现组织的目标。我们分析了这些策略存在问题的复杂性，并针对我们的语言定义的特定约束子类，开发了固定参数的易处理算法来解决它们。 11.本文的扩展摘要出现在第七届 ACM 会议论文集上关于数据和应用程序安全和隐私 [1]。研究得到了 Leverhulme 信托基金 RPG-2018-161 和皇家学会沃尔夫森研究优异奖的部分支持。对于由我们的语言定义的特定子类约束，开发固定参数易处理算法来解决它们。11.本文的扩展摘要出现在第七届 ACM 数据和应用安全与隐私会议的论文集 [1] 中。研究得到了 Leverhulme 信托基金 RPG-2018-161 和皇家学会沃尔夫森研究优异奖的部分支持。对于由我们的语言定义的特定子类约束，开发固定参数易处理算法来解决它们。11.本文的扩展摘要出现在第七届 ACM 数据和应用安全与隐私会议的论文集 [1] 中。研究得到了 Leverhulme 信托基金 RPG-2018-161 和皇家学会沃尔夫森研究优异奖的部分支持。