Une règle contient un type de service, une ou plusieurs actions, ainsi qu'une valeur. La règle a pour objectif fondamental de définir la stratégie.
Un type de service définit le type de ressource protégé.
Une action est le nom d'une opération à effectuer sur la ressource. POST ou GET sont des exemples d'actions de serveur Web. Une action autorisée pour un service ressources humaines pourrait, par exemple, être la possibilité de modifier un numéro de téléphone personnel.
Une valeur définit l'autorisation de l'action, par exemple, autoriser ou refuser.