Ролевая модель. Роль имеет права на ВСЕ объекты контроллера по типу доступа(на всю сеть, все хранилища, и т.п.). Есть возможность создания организаций тогда права пользователя распространяются на объекты в пределах организации.
Для пользователей с ролью оператора можно настроить доступ к отдельным VM. При этом нельзя настроить права на отдельные объекты для конкретных пользователей, например на какой-то диск дать доступ "только этому и больше никому". Бывает надо.