ローカルユーザーは異なるローカルグループのメンバーになることができますが、ローカルグループは他のローカルグループのメンバーになることはできません。ローカルユーザーアクセストークンは、特定のローカルユーザーが所属するグループに割り当てられたすべての権限の集合で構成されます。

ドメインユーザがログインすると、ONTAPはユーザSIDと、そのユーザが所属するすべてのドメイングループのSIDを含むユーザアクセストークンを取得します。ONTAPは、ドメインユーザアクセストークンと、ユーザのドメイングループのローカルメンバーシップ（存在する場合）によって提供されるアクセストークン、およびドメインユーザまたはそのドメイングループメンバーシップに割り当てられた直接権限を結合したものを使用します。