누가 무엇을 할 수 있는지 어떻게 정하는가?

사람에게 권한을 직접 붙이지 않는다. 역할을 사이에 두고 사람에게는 역할만 준다.

사람이 늘어도 역할만 붙이면 된다. 권한이 바뀌면 역할 하나만 고치고, 그 역할을 가진 모두에게 한 번에 반영된다.

역할을 잘게 쪼개면 오히려 어려워진다. 사람마다 역할이 하나씩 생기면 결국 사람에게 권한을 직접 붙인 것과 같아진다.

역할로 안 되는 자리가 있다. "자기가 쓴 글만 고칠 수 있다"는 누구냐와 그 글이 누구 것이냐의 관계에 달렸다. 역할 이름만으로는 못 적는다. 이때는 조건을 함께 보는 방식을 쓴다.

인증과 인가는 다른 단계다. 누구인지 확인하는 것과 무엇을 할 수 있는지 정하는 것은 다른 단계다.