AGDLP

微軟實現RBAC的方式利用了Active Directory中不同的安全群組[3][4]：

全域安全群組（Global security groups）

全域範圍的網域安全群組代表在企業中的角色，或是在此網域中的功能。這些群組可以包括個別帳號，同一網域內的其他全域群組，也可以用在網域森林中的資源裡。這些群組可以經常變更，不會有全局目錄複製的問題。

網域區域安全群組（Domain local security groups）

網域區域範圍的網域安全群組說明細節的存取權限或是使用者權限。只有同一個網域的系統可以用到這些群組。網域安全群組可以包括帳號、全域群組、以及任何網域的萬用群組（universal groups），也可以包括同一個網域的其他網域區域群組。

表示企業中功能的全域安全群組應該只有使用者或電腦帳號。表示資源存取許可或是其他使用者權限的網域區域群組，其中應該只有全域安全群組，沒有個別帳號。不應該對帳號或是企業角色直接設定存取許可或是使用者權限，這樣才能簡化存取權限的分析。

Active Directary森林是指多個網域的環境，各個網域可能是透過广域网或虛擬私人網路連接，會有稱為全域目錄伺服器（global catalog server）的網域控制器會快取目錄對象物件以及屬性型態，以減少跨網域緩慢的目錄查詢[5]。全域目錄伺服器快取的物件包括了萬用群組（universal group），不包括全域群組（global group），使得萬用群組的成員查詢比全域群組的查詢要快很多。不過萬用群組的任何修改都會觸發全域的目錄複製（而且可能成本很高），在萬用群組的修改需要Active Directary森林層級的的安全權限，這在大部份的大型企業不太適用。因為這二個限制，讓萬用安全群組沒有完全取代全域安全群組來表示在成員在企業中的角色。在此環境下，用萬用安全群組來表示在公司內的角色，但又維持各網域個別的全域安全群組，就簡稱為AGUDLP。

在Windows NT 4.0或較早版本的網域只有全域（網域等級）及區域（非網域層級）的群組，在網域等級不支援嵌套群组[6]。縮寫AGLP是指這種在較早期網域的RBAC實現：全域（Global）群組表示企業角色，而區域（local）群組（在網域成員資料庫中）說明各使用者的權限。