پس از اینکه از صحت اعتبار نامه کاربر و بعبارت دیگر از صحت هویت کاربر مطمئن شدیم به روشی نیاز داریم که بتوانیم تشخیص دهیم این کاربر چه دسترسی هایی می تواند داشته باشد .رایج ترین روش در این زمینه استفاده از مفهوم نقش "Role" می باشد.در این روش دسترسی ها بطور ضمنی برای نقش تعریف می شود.وقتی کاربری دارای یک نقش باشد یعنی مجاز است کارهایی را که برای آن نقش تعریف شده انجام دهد.مثلا نقش users برای کاربران و نقش Administrator برای مدیران.بعنوان مثال مشاهده دسته بندی های محصولات را تنها برای کلاینت هایی تعریف می کنیم که نقش administrator داشته باشند.اما اجازه می دهیم دیگر اکشن هایا متدها بطور آزاد توسط همه قابل استفاده باشد.

claim یکی از بحث هایی است که در زمینه امنیت استفاده می شود به معنی "مدعی".ایده کلی این است که پس از تصدیق هویت لیستی از زوج های کلید-مقدار را به کاربر نسبت دهیم که اطلاعات مورد نیاز در خصوص کاربر را فراهم کند تا مجبور باشیم هربار این اطلاعات را مثلا از دیتا بیس بازیابی کنیم.این اطلاعات از چیز های مختلفی می تواند تشکیل می شود ازجمله مشخصات هویتی - نقش هایی که دارد-و سایر ادعاهای کاربر . نمونه ای از ادعاهای کاربری به نام علی در زیر نشان داده شده است.توجه کنید که ادعای role حاوی چند مقدار است:

نوع ادعا                                     مثال

ایمیل                                ali@gmail.com

شناسه کاربری                      ali -a

نام خانوادگی                     ahmadi

نقش                                user       

نقش                       administrators