Při vyhodnocování oprávnění k úloze se vždy nejprve hledá kompletní identifikátor úlohy (viz Seznam úloh). Na příkladu niže (Adresář) se hledá „orsoft.o.adresar.o6a“. Pokud se takový záznam najde, bere se oprávnění z něho. Pokud se nenajde, nahradí se poslední část identifikátoru hvězdičkou, tj. hledá se skupina úloh („orsoft.o.adresar.*“). Pokud se tato najde, bere se oprávnění z ní, pokud ne, nahradí se další část hvězdičkou atd. Oprávnění se tedy bere z nejbližšího nalezeného záznamu. Pokud se identifikátor ani žadná nadřazená skupina nenajde, není úloha povolena.

Popsaný princip se uplatní také v případě, že se kompletní identifikátor najde, ale některé atributy oprávnění má nastaveny na hodnotu „zdědit“ (viz obr. níže). Pro tyto atributy se opět oprávnění dědí z nadřazených skupin. Nenajde-li se oprávnění pro atribut, je tento zakázán.