访问控制模型的各个部分
访问控制模型有两个基本部分：
当用户登录时，系统会对用户的帐户名和密码 进行身份验证 。 如果登录成功，系统会创建访问令牌。 代表此用户执行的每个 进程 都将具有此访问令牌的副本。 访问令牌包含用于标识用户帐户和用户所属的任何组帐户 的安全标识符 。 令牌还包含用户或 用户组拥有的权限 列表。 当进程尝试访问安全对象或执行需要特权的系统管理任务时，系统将使用此令牌来标识关联的用户。
创建安全对象时，系统会为其分配一个包含其创建者指定的安全信息 的安全描述符 ;如果未指定安全信息，则为其分配默认安全信息。 应用程序可以使用函数来检索和设置现有对象的安全信息。
安全描述符标识对象的所有者，还可以包含以下 访问控制列表：
ACL 包含访问控制 项 的列表 (ACE) 。 每个 ACE 指定一组 访问权限 ，并包含一个 SID，用于标识允许、拒绝或审核其权限的 受托人 。 受信人可以是用户帐户、组帐户或 登录会话。
使用函数操作安全描述符、SID 和 ACL 的内容，而不是直接访问它们。 这有助于确保这些结构在语法上保持准确，并防止安全系统的未来增强功能破坏现有代码。
以下主题提供有关访问控制模型的各个部分的信息：