Роли, идентификация и квалификация

Не смешиваем участника реестра, административные права и KYC.

Ось	Пример	Что не означает
Категория	Физлицо, ИП, юридическое лицо	Полномочие эмитента
Качество в реестре	HOLDER, ISSUER, EXCHANGE_OPERATOR, NOMINEE_HOLDER, FOREIGN_NOMINEE_HOLDER	Admin-доступ
RBAC	SYSTEM_ADMIN, разрешение выпуска	Право распоряжаться чужими активами
KYC	Уровень и статус кейса	Квалифицированный инвестор
Квалификация	Подтвержденный статус и допустимые активы	Снятие всех ограничений

Feature: Проверка владельца
  Scenario: Проверка владельца
    Given участник вошел в собственный профиль
    When он запрашивает документы другого участника
    Then доступ отклоняется без раскрытия данных
    And клиентский userId не заменяет проверенную сессию

Изменение роли и блокировка требуют проверенного actor, права и аудита. Загрузка документа не означает одобрение KYC. Ошибка внешней проверки не превращается в разрешение. Для A-1.4 качество должно отражаться в реестре пользователей; для A-1.6 критерии ограниченных активов устанавливаются Банком России.

Источник: identity.proto, authz и KYC use-cases auth; CFA access interceptor. Подпись.