Список ролей не продиктован Spring Security, но полностью соответствует тому, что требуется для конкретного приложения.
Список ролей, например, может храниться в базе данных приложения. См. Пример класса Spring Security JdbcUserDetailsManager, который можно легко использовать для управления пользователями, ролями и полномочиями (привилегиями) в базе данных.