企业应用系统对安全问题有较高的要求，传统的访问控制方法DAC（Discretionary Access Control，自主访问控制模型）、MAC（Mandatory Access Control，强制访问控制模型）难以满足复杂的企业环境需求。因此，NIST（National Institute of Standards and Technology，美国国家标准化和技术委员会）于上世纪90年代初提出了基于角色的访问控制方法，实现了用户与访问权限的逻辑分离，更符合企业的用户、组织、数据和应用特征。

由于RBAC实现了用户与访问权限的逻辑分离，因此它极大的方便了权限管理。例如，如果一个用户的职位发生变化，只要将用户当前的角色去掉，加入代表新职务或新任务的角色即可，角色/权限之间的变化比角色/用户关系之间的变化相对要慢得多，并且委派用户到角色不需要很多技术，可以由行政管理人员来执行，而配置权限到角色的工作比较复杂，需要一定的技术，可以由专门的技术人员来承担，但是不给他们委派用户的权限，这与现实中情况正好一致。 而R-F-RBAC的设计思路是在RBAC基础上的一个发展，引入了资源的概念。何所谓资源，大体来说可以是纳入系统管理的信息，在技术实现层面可以是一张表、一条或一列记录、甚至可以是表的一个单元格。在实践使用中，一些高安全级别额的企业应用，仅仅将权限控制到功能是不够的，要求能控制某些用户只能操作到指定的系统内容。