המערכת בנויה שיש (בכל פרוייקט) חשבונות, ולכל חשבון יש משתמשים. כל החשבונות מקבלים הרשאות ספציפיות, וכמו"כ כל המשתמשים מקבלים הרשאות ספציפיות, אבל לכל פרוייקט יש חשבון root שמקבל את ההרשאות הבסיסיות של הפרוייקט, וכמו"כ לכל חשבון יש משתמש root שמקבל את ההרשאות הבסיסיות של החשבון (כך שמשתמש root של חשבון root בפרוייקט מקבל את כל ההרשאות שיש לפרוייקט).

ההרשאות למשתמשים ולקבוצות בנויות בצורה כזו, שאם אין שורה בטבלת ההרשאות (למשתמש/קבוצת משתמשים) לפונקציה ספציפית זו, אז ההרשאה נשארת אותה ההרשאה שהוגדרה לו ברמה הקודמת של ההרשאות. לדוגמא, שככל ואין אזכור להרשאה למשתמש, אז בבררת המחדל (וכגון שהוא משתמש רגיל ולא שורש) אין לו אישור. אבל אם יש אזכור אז הוא דורס את ההגדרות הקודמות, ולא מיבעי שבאזכור חיובי (ככל ולחשבון יש אישור) המשתמש מקבל אישור, אלא שגם כאשר בבררת מחדל היה אישור למשתמש (כגון שהוא היה root) אבל האזכור השלילי עכשיו יבטל לו את האישור.