C'est soit l'un ou l'autre. Il n'est pas nécessaire que l'utilisateur soit dans trusted-users pour qu'il/elle puisse utiliser un substituteur dans trusted-substituters.
Le deuxième cas est pour les commandes qui modifient --option substituters.

Ce qui est important, c'est qu'il faut être privilégié par l'une des deux conditions afin d'ajouter des outputs au Nix store sans faire le build.
Sinon, n'importe-qui pourrait y ajouter des outputs qui ne correspondent pas à la dérivation d'origine (par malice ou par négligence).