O mecanismo básico de controle de acesso é um Item de Controle de Acesso (ICA), que é simplesmente uma lista que especifica os itens que ela controla, as classes de usuário contra os quais ela protege, e as permissões que se aplicam (isto é, o tipo de acesso - leitura, escrita, etc). Elas também carregam um número de precedência que é usado para decidir qual ICA se aplica em um caso particular. A granularidade dos ICAs pode ser desde um simples atributo de uma entrada até uma sub-árvore completa do Diretório.
As classes individuais de usuários são:
As permissões para entradas protegidas são:
Estas permissões não conferem exatamente com as operações providas pela maioria dos ASDs. Cada operação pode requere a posse de uma ou mais destas permissões. Por exemplo, a operação de Pesquisa requer permissão de Navegação para cada entrada no escopo da pesquisa e permissão de Retornar ND para cada entrada presente no resultado.