Eine Regel enthält einen Diensttyp, eine oder mehrere Aktionen sowie einen Wert. Richtlinien werden im Wesentlichen durch Regeln definiert.
Ein Diensttyp definiert die Art der Ressource, die geschützt wird.
Eine Aktion ist die Bezeichnung eines Vorgangs, der für eine Ressource ausgeführt werden kann, z. B. die Webserver-Aktionen POST und GET. Eine zulässige Aktion für einen menschlichen Ressourcendienst wäre zum Beispiel die Möglichkeit, eine private Telefonnummer ändern zu können.
Der Wert legt die Berechtigung für die Aktion fest, z. B. "Zulassen" oder "Verweigern".