访问控制模型的各个部分
访问控制模型有两个基本部分：
当用户登录时，系统 用户帐户名和密码进行身份验证。 如果登录成功，系统将创建访问令牌。 代表此用户执行的每个 进程 都将具有此访问令牌的副本。 访问令牌包含 安全标识符 标识用户帐户和用户所属的任何组帐户。 令牌还包含用户或用户组持有的 特权列表。 当进程尝试访问安全对象或执行需要特权的系统管理任务时，系统使用此令牌来标识关联的用户。
创建安全对象时，系统将为其分配 安全描述符，其中包含其创建者指定的安全信息;如果未指定安全信息，则为默认安全信息分配。 应用程序可以使用函数来检索和设置现有对象的安全信息。
安全描述符标识对象的所有者，还可以包含以下 访问控制列表：
ACL 包含 访问控制项的列表（ACE）。 每个 ACE 指定一组 访问权限，并包含一个 SID，用于标识允许、拒绝或审核其权限的 受托人。 受托人可以是用户帐户、组帐户或 登录会话。
使用函数作安全描述符、SID 和 ACL 的内容，而不是直接访问它们。 这有助于确保这些结构保持语法准确，并防止将来增强安全系统中断现有代码。
以下主题提供有关访问控制模型的各个部分的信息：