Solo per i ruoli della politica di sicurezza e di sistema, nega gli utenti nel ruolo di accesso alla funzione. Non è possibile bloccare le funzioni tramite ruoli di progetto o oggetto.

Gli utenti con il ruolo ereditano l'impostazione di autorizzazione per la funzione dagli altri ruoli di progetto e oggetto o, se nessuno di tali utenti dispone dell'autorizzazione specificata, dal ruolo di sistema predefinito appropriato (Amministratore del piano o Utente del piano) dalla politica globale. Se nessuno dei ruoli per cui tali utenti si sono qualificati concede loro l'autorizzazione, gli utenti non possono eseguire la funzione.