Маршрутизация бизнес-подразделений: детальный контроль доступа в ASP.NET MVC

Как следует структурировать маршруты ASP.NET MVC, чтобы обеспечить детальный контроль доступа на основе ролей к филиалам бизнеса?

Каждый бизнес-объект связан с филиалом либо сам по себе, либо через свои родительские объекты. Есть ли элегантный способ авторизации действий на основе пользовательских ролей для любого количества веток?

1. {ветка} в пути?

{branch}/{controller}/{action}/{id}

Действие:

[Authorize(Roles="Technician")]
public ActionResult BusinessWidgetAction(BusinessObject obj)
{
    // Authorize will test if User has Technician role in branch context
    // ...
}

2. Получить филиал от хозяйствующего субъекта?

{controller}/{action}/{id}

Действие:

public ActionResult BusinessWidgetAction(BusinessObject obj)
{
    if (!User.HasAccessTo("WidgetAction", obj.Branch))
        throw new HttpException(403, "No soup for you!"); // or redirect

    // ...
}

3. Или есть способ лучше?