Partes del modelo de Access Control

Hay dos partes básicas del modelo de control de acceso:

• Tokens de acceso, que contienen información sobre un usuario que ha iniciado sesión
• Descriptores de seguridad, que contienen la información de seguridad que protege un objeto protegible

Cuando un usuario inicia sesión, el sistema autentica el nombre y la contraseña de la cuenta del usuario. Si el inicio de sesión se realiza correctamente, el sistema crea un token de acceso. Cada proceso ejecutado en nombre de este usuario tendrá una copia de este token de acceso. El token de acceso contiene identificadores de seguridad que identifican la cuenta del usuario y las cuentas de grupo a las que pertenece el usuario. El token también contiene una lista de los privilegios que mantiene el usuario o los grupos del usuario. El sistema usa este token para identificar al usuario asociado cuando un proceso intenta acceder a un objeto protegible o realizar una tarea de administración del sistema que requiera privilegios.

Cuando se crea un objeto protegible, el sistema le asigna un descriptor de seguridad que contiene información de seguridad especificada por su creador o información de seguridad predeterminada si no se especifica ninguna. Las aplicaciones pueden usar funciones para recuperar y establecer la información de seguridad de un objeto existente.

Un descriptor de seguridad identifica el propietario del objeto y también puede contener las siguientes listas de control de acceso:

• Una lista de control de acceso discrecional (DACL) que identifica a los usuarios y grupos permitidos o denegados de acceso al objeto.
• Una lista de control de acceso del sistema (SACL) que controla cómo el sistema audita los intentos de acceder al objeto

Una ACL contiene una lista de entradas de control de acceso (ACE). Cada ACE especifica un conjunto de derechos de acceso y contiene un SID que identifica a un administrador de confianza para el que se permiten, deniegan o auditan los derechos. Un administrador de confianza puede ser una cuenta de usuario, una cuenta de grupo o una sesión de inicio de sesión.

Use funciones para manipular el contenido de descriptores de seguridad, SID y ACL en lugar de acceder a ellos directamente. Esto ayuda a garantizar que estas estructuras permanezcan sintácticamente precisas y evite futuras mejoras en el sistema de seguridad de interrumpir el código existente.

En los temas siguientes se proporciona información sobre las partes del modelo de control de acceso:

• Tokens de acceso
• Descriptor de seguridad
• Listas de control de acceso
• entradas de Access Control
• Derechos de acceso y máscaras de acceso
• Funcionamiento de AccessCheck
• Directiva de autorización centralizada
• Identificadores de seguridad