Các quyền được mô tả bởi các luật truy cập. Các luật truy cập có dạng (s, o, t, p),
có nghĩa là chủ thể s có thể thực thi quyền truy nhập t trên đối tượng o dưới điều kiện xác định bởi p. Các quyền truy nhập được định nghĩa bởi người quản trị, người chịu trách nhiệm áp dụng các chính sách an ninh của tổ chức.
Các luật truy cập cơ bản nên đặc tả ở mức khái niệm, vì mức này cung cấp cái nhìn toàn diện về dữ liệu của tổ chức. Hơn nữa, người định nghĩa một đối tượng mức ngoài sẽ có lựa chọn cho phép định nghĩa quyền truy cập với đối tượng đó. Để làm được điều này, một định nghĩa về bảng phải bao gồm các ràng buộc truy nhập, xác định loại truy nhập hợp pháp cho mỗi đối tượng mức ngoài e: cho mỗi bảng và cho các trường của bảng. Các ràng buộc này được lưu trữ trong bảng truy nhập bắt buộc (Access Constraint table viết tắt là AC) với hai cột, một cho các đối tượng mức ngoài mà một cho chế độ truy nhập t.
C T EMPLOYEE EMPLOYEE EMPLOYEE.name EMPLOYEE.ssn EMPLOYEE.manager EMPLOYEE.salary EMPLOYEE.manager EMPLOYEE.salary delete insert read read read read update update Bảng 3.8 Ví dụ về bảng truy nhập bắt buộc AC
Cặp (ei, tj) trong bảng AC là chế độ truy nhập tj được phép trên đối tượng ei. Ví
dụ về bảng AC được minh họa trong bảng 3.8. Bảng này liệt kê các ràng buộc truy cập cho bảng Employee. Theo các ràng buộc, các dòng của bảng Employee có thể bị xóa hay thêm vào và tất cả các trường đều được đọc, nhưng chỉ có trường Manager và Salary có thể cập nhật.
Hiển nhiên, quyền truy nhập xác định trong bảng ràng buộc truy nhập cho một đối tượng mức ngoài phải thuộc vào tập các truy nhập được phép với đối tượng đó. Công thức hóa như sau: . ( ,*) ( )
i e n i TP e t AC ∈ ∀ei∈AC.t
Các luật truy nhập trên đối tượng khái niệm được chuyển thành các luật truy nhập trên các đối tượng mức ngoài. Người cấp quyền cần xác định quyền truy nhập của người dùng trên đối tượng mức ngoài bằng một trong hai cách:
(1) Chấp nhận các luật truy nhập có sẵn trên các đối tượng mức khái niệm (2) Định nghĩa một số các luật giới hạn mới
Lý tưởng hóa, hệ thống hiển thị các luật có sẵn và người quản trị chỉ cần định nghĩa lại nếu cần có thêm các luật giới hạn. Khi các luật mới được định nghĩa, hệ thống kiểm tra xem chúng có phù hợp với các luật ở mức khái niệm. Luật định nghĩa ở mức ngoài là phù hợp nếu nó giới hạn ít nhất bằng với các luật có sẵn cho các đối tượng bên dưới.
Hình minh họa sau đây chỉ ra các mối quan hệ của các quy tắc truy cập tại các mức khác nhau.