Para cada objeto se puede determinar cuál es el rol que se necesita para el tipo de acceso, estos roles pueden usuarios individuales a los cuales también pueden asignarse localmente, por ejemplo, para conceder acceso únicamente a una determinada sub-árbol.