Statt jedem Konto Rechte einzeln zuzuweisen, werden sie in Rollen gebündelt, die sich an Aufgaben und Funktionen orientieren, etwa „Buchhaltung“ oder „Administration Datenbanken“. Eine neue Kollegin erhält die Rolle ihrer Position und damit einen definierten, nachvollziehbaren Satz an Zugängen.
Das Rollenmodell ist die Voraussetzung dafür, dass Rechtevergabe überhaupt prüfbar wird: Ohne Rollen lässt sich kaum beantworten, warum ein Konto eine bestimmte Berechtigung hat. Es begrenzt zugleich den Wildwuchs aus historisch gewachsenen Einzelfreigaben und macht die regelmäßige Rezertifizierung praktikabel.
Die Schwierigkeit liegt im Zuschnitt: Zu grobe Rollen vergeben zu viele Rechte und untergraben Least Privilege, zu feine Rollen werden unübersichtlich und pflegeintensiv.