Стандарт INCITS 494-2012 разделяет ограничения на статические и динамические. Динамические ограничения действуют во время установления сессии и включают запрет «роль-роль» (нельзя совмещать определённые роли) и ограничение по атрибуту (роль не назначается в зависимости от значения атрибута). Статические ограничения предопределены заранее и включают запрет сочетания определённых ролей и запрет использования комбинации определённых прав доступа в конкретной роли.