Eine Richtlinie definiert Regeln, die Zugriffsberechtigungen für die geschützten Ressourcen eines Bereichs angeben. Unternehmen verfügen über Ressourcen, Anwendungen und Dienste, die geschützt, verwaltet und überwacht werden müssen. Richtlinien steuern den Zugriff auf diese Ressourcen und deren Verwendung, indem sie festlegen, wann und wie ein Benutzer eine Aktion an einer bestimmten Ressource ausführen kann. Eine Richtlinie, die auf ein Objekt angewendet wird, bestimmt, auf welche Ressourcen dieses Objekt zugreifen kann.
Eine einzelne Richtlinie kann binäre und nicht binäre Entscheidungen festlegen. Beispiele für eine binäre Entscheidung: yes/no (ja/nein) true/false (wahr/falsch) oder allow/ deny (zulassen/verweigern). Eine nicht binäre Entscheidung wird durch den Wert eines Attributs festgelegt. Ein Mail-Service kann beispielsweise das Attribut mailboxQuota enthalten, in dem für jeden Benutzer ein maximaler Aufbewahrungswert festgelegt ist. Im Allgemeinen legt eine Richtlinie fest, was ein Objekt mit welchen Ressourcen unter welchen Bedingungen machen kann.
In OpenSSO können zwei Richtlinientypen konfiguriert werden: Normale Richtlinien oder Bezugsrichtlinien. Eine normale Richtlinie besteht aus Regeln, Betreffen, Bedingungen und Response-Anbietern. Eine Bezugsrichtlinie besteht aus Regeln und Bezügen hinsichtlich Organisationen.