Utilizzo di una macchina a stati finiti per la gestione degli accessi?

Il mio sito intranet utilizza LDAP e Active Directory per autenticare gli utenti. Esistono 2 tipi di Utenti: Manager e Dipendenti. Sono differenziati dall'appartenenza a un particolare gruppo AD.

Nel tentativo di migliorare il mio codice sto provando a usare (si spera opportunamente) modelli di progettazione formale. penso forse una macchina a stati finiti potrebbe funzionare qui. Ma non sono sicuro quale dei seguenti modelli (o alcuni altri interamente) sarebbe il migliore:

1. 2 transizioni con condizioni semplici

   Unlogged --- auth==TRUE---> Employee ---group==TRUE---> Manager

2. 1 transizione con una condizione composta

   Unlogged --- auth==TRUE && group==FALSE---> Employee

   Unlogged --- auth==TRUE && group==TRUE---> Manager

Il primo sembra più pulito. Il secondo è più vicino a ciò che dovrebbe effettivamente accadere. Sono sulla buona strada? Un modello di design diverso sarebbe del tutto migliore?