規則包含一個服務類型、一或多個動作，以及一個值。基本上，規則定義策略。
服務類型定義受保護資源的類型。
動作為一項可於資源上執行的作業之名稱；Web 伺服器動作的範例有：POST 或 GET。人力資源服務可允許的一個動作可以變更為一個住家電話號碼。
值定義動作的權限，例如允許或拒絕。