Der Zugriff erfolgt nach dem Deny-all- und Allow-by-Exception-Prinzip basierend auf Rollen und Domänen, wie in RBAC definiert. Nur Nutzer mit Zugriff auf die Nutzerverwaltung können andere Nutzer im System verwalten.

Diese Berechtigung ist in die folgenden Unterberechtigungen unterteilt:

Nutzer erstellen
Nur Nutzer, die neue Nutzer aus dem Control Room erstellen
Nutzer bearbeiten
Nur Nutzer, die existierende Nutzer aus dem Control Room bearbeiten
Nutzer löschen
Nur Nutzer, die existierende Nutzer aus dem Control Room löschen

Autorisierte Nutzer können verschiedenen Gruppen von Nutzern und Rollen je nach Geschäftsanforderungen unterschiedliche Kombinationen dieser Zugriffsberechtigungen zuweisen.