Terwijl op rollen gebaseerde toegangscontrole (RBAC) gebruikmaakt van rollen (gedefinieerd door een reeks machtigingen) om toegang te verlenen, gaat ABAC verder door toe te staan ​​dat toegangsbeslissingen worden gebaseerd op een breder scala aan attributen. Deze kenmerken kunnen het volgende omvatten:

* Gebruikerskenmerken: Dingen zoals afdeling, locatie, bevoegdheidsniveau, functietitel, enz.

* Bronkenmerken: Het gevoeligheidsniveau van de gegevens, de locatie, de maker ervan, enz.

* Omgevingskenmerken: Tijdstip, locatie van de aanvraag, gebruikt apparaat, enz.

* Beleidskenmerken: Voorgedefinieerde regels en voorwaarden binnen het toegangscontrolebeleid zelf.

ABAC maakt een veel fijnmaziger en dynamischer toegangscontrole mogelijk dan RBAC. In plaats van een eenvoudige rol van 'financieel manager' met algemene toegang tot financiële gegevens, zou ABAC bijvoorbeeld toegang kunnen verlenen op basis van specifieke kenmerken:een gebruiker moet zich op de 'financiële' afdeling bevinden, aan een specifiek project werken en toegang hebben tot gegevens die verband houden met dat project, *en* het moet tijdens kantooruren zijn. Dit zorgt voor meer flexibiliteit, schaalbaarheid en beveiliging.

Kortom, ABAC breidt de functionaliteit van op rollen gebaseerde systemen uit door meer contextuele en gedetailleerde controle over de toegang mogelijk te maken, waardoor het een superieure aanpak is voor complexe en dynamische omgevingen. Hoewel RBAC *kan* worden gebruikt in combinatie met ABAC, biedt ABAC het uitbreidbare raamwerk om te voldoen aan de meer ingewikkelde vereisten voor toegangscontrole die de beperkingen van een eenvoudige, op rollen gebaseerde structuur overschrijden.