访问控制模型的各个部分

访问控制模型有两个基本部分:

用户登录时,系统会对用户的帐户名称和密码 进行身份验证 。 如果登录成功,系统会创建访问令牌。 代表此用户执行的每个 进程 都将具有此访问令牌的副本。 访问令牌包含 安全标识符 ,用于标识用户帐户和用户所属的任何组帐户。 令牌还包含用户或用户组持有的 特权 列表。 当进程尝试访问安全对象或执行需要特权的系统管理任务时,系统使用此令牌来标识关联的用户。

创建安全对象时,系统会为其分配一个 安全描述符 ,其中包含其创建者指定的安全信息;如果未指定安全信息,则为默认安全信息分配。 应用程序可以使用函数检索和设置现有对象的安全信息。

安全描述符标识对象的所有者,还可以包含以下 访问控制列表

ACL 包含 一个访问控制项 列表, (ACE) 。 每个 ACE 指定一组 访问权限 ,并包含一个 SID,用于标识允许、拒绝或审核其权限的 受托人 。 受托人可以是用户帐户、组帐户或 登录会话

使用函数可操作安全描述符、SID 和 ACL 的内容,而不是直接访问它们。 这有助于确保这些结构保持语法准确,并防止安全系统的未来增强功能中断现有代码。

以下主题提供有关访问控制模型的各个部分的信息: