访问控制模型的各个部分

访问控制模型有两个基本部分:

当用户登录时,系统 用户帐户名和密码进行身份验证。 如果登录成功,系统将创建访问令牌。 代表此用户执行的每个 进程 都将具有此访问令牌的副本。 访问令牌包含 安全标识符 标识用户帐户和用户所属的任何组帐户。 令牌还包含用户或用户组持有的 特权列表。 当进程尝试访问安全对象或执行需要特权的系统管理任务时,系统使用此令牌来标识关联的用户。

创建安全对象时,系统将为其分配 安全描述符,其中包含其创建者指定的安全信息;如果未指定安全信息,则为默认安全信息分配。 应用程序可以使用函数来检索和设置现有对象的安全信息。

安全描述符标识对象的所有者,还可以包含以下 访问控制列表

ACL 包含 访问控制项的列表(ACE)。 每个 ACE 指定一组 访问权限,并包含一个 SID,用于标识允许、拒绝或审核其权限的 受托人。 受托人可以是用户帐户、组帐户或 登录会话

使用函数作安全描述符、SID 和 ACL 的内容,而不是直接访问它们。 这有助于确保这些结构保持语法准确,并防止将来增强安全系统中断现有代码。

以下主题提供有关访问控制模型的各个部分的信息: