В роль-ориентированном подходе атрибуты используются для создания правил ограничения доступа, а роли по-прежнему содержат наборы прав доступа. Окончательный набор прав в пользовательской сессии формируется в результате пересечения прав, предоставляемых ролью пользователя, и тех прав, которые не запрещены атрибутными правилами. Это сохраняет преимущества ролевой модели (простота администрирования основных прав) и добавляет гибкость атрибутной модели (возможность накладывать контекстные ограничения).