ACL là kỹ thuật ở mức thấp bao gồm tên của các chủ thể đƣợc phép truy cập đến đối tƣợng mà nó tham chiếu, và các quyền đƣợc gán cho mỗi chủ thể. Vì vậy, khi một chủ thể muốn truy cập đến đối tƣợng, hệ thống tìm kiếm bản ghi trong ACL. Nếu có một bản ghi, và nếu thao tác đƣợc yêu cầu là một phần của bản ghi này, hệ thống sẽ cho phép truy cập. Đặc quyền tạo và chỉnh sửa ACL đƣợc giới hạn cho ngƣời sở hữu đối tƣợng. Để có thể chỉnh sửa tùy ý các chính sách, ngƣời sở hữu hoặc ngƣời điều khiển thƣờng là ngƣời tạo ra đối tƣợng. Để thuận lợi cho việc quản lý, nhóm thƣờng đƣợc sử dụng nhƣ một thực thể trên ACL, đây là ký hiệu để mô tả tập hợp các chủ thể. Khi xem xét sự truy cập, định danh của chủ thể sẽ đƣợc tìm kiếm trong nhóm. Nếu tìm thấy, chủ thể sẽ đƣợc phép thực thi thao tác phù hợp với nhóm.
Vai trò trong RBAC có thể đƣợc xem xét tƣơng đƣơng với nhóm trong ACL. Một vai trò có thể biểu diễn tập hợp ngƣời dùng, và một ngƣời dùng có thể là thành viên của nhiều vai trò. Tƣơng tự, một đặc quyền có thể đƣợc gán cho một hay nhiều nhóm hoặc vai trò; một nhóm hoặc vai trò có thể có một hay nhiều đặc quyền. Vì vậy, việc gán ngƣời dùng vào nhóm hay vai trò sẽ giúp ngƣời dùng có khả năng thực thi đặc quyền của nhóm hay vai trò đó. Tại mức này, vai trò đã có sự khác biệt với nhóm trong ACL. Tuy nhiên,
vai trò trong RBAC và nhóm trong ACL có sự khác nhau về mặt ngữ nghĩa trong mô hình điều khiển truy cập và có sự khác nhau trong cài đặt.
Là thành phần trung tâm của mô hình RBAC, vai trò đƣợc định nghĩa nhƣ một tập hợp các tính chất. Không phụ thuộc vào cách cài đặt, vai trò luôn biểu diễn tính chất cho mô hình RBAC. Một nhóm có thể có hoặc không biểu diễn các tính chất này. Ví dụ, tính chất của vai trò RBAC cho phép mối quan hệ nhiều - nhiều giữa ngƣời dùng và quyền truy cập. Để đáp ứng yêu cầu này, mỗi nhóm khi cài đặt phải không bỏ qua bất kỳ tính chất nào trong số các tính chất sau:
- Nhóm có thể đƣợc tạo;
- Ngƣời dùng có thể trở thành thành viên của bất kỳ nhóm nào; - Ngƣời dùng có thể là thành viên của đồng thời nhiều nhóm;
- Một nhóm có thể ở trong thực thể của một danh sách điều khiển truy cập.
Đa số các ứng dụng và hệ điều hành theo kỹ thuật ACL đều đáp ứng tính chất này và vì vậy có thể xem nhƣ tƣơng đƣơng với mô hình RBAC. Tuy nhiên mô hình RBAC tiến bộ hơn bởi cung cấp khả năng quản lý đối với vai trò RBAC.
Do RBAC chỉ là mô hình mà không phải là kỹ thuật, vì vậy RBAC có thể đƣợc cài đặt trong nhiều loại hệ thống, bao gồm mạng máy tính và hệ quản lý doanh nghiệp, lớn hơn rất nhiều so với hệ điều hành hay ứng dụng riêng lẻ. Với cách định nghĩa này, ngƣời dùng và vai trò đƣợc xem nhƣ các thực thể chung trong mô hình RBAC. Trong hệ quản lý doanh nghiệp, hệ thống quản trị xem xét và quản lý ngƣời dùng và vai trò nhƣ các thực thể trừu tƣợng của hệ thống, có những quyền xác định đối với ứng dụng và hệ thống. Ví dụ, khi gán ngƣời dùng một vai trò tức là có thể gán ngƣời dùng một tập hợp quyền trong hệ thống nhiều hệ điều hành và ứng dụng. Dƣới khía cạnh doanh nghiệp, điều này có thể tạo ra hiệu quả tốt khi quản lý ngƣời dùng thông qua các vai trò chung, hơn là thông qua các nhóm riêng của từng hệ điều hành và ứng dụng.