Interacción entre subprocesos y objetos protegibles

Cuando un subproceso intenta usar un objeto protegible, el sistema realiza una comprobación de acceso antes de permitir que el subproceso continúe. En una comprobación de acceso, el sistema compara la información de seguridad del token de acceso del subproceso con la información de seguridad del descriptor de seguridad del objeto.

• El token de acceso contiene identificadores de seguridad (SID) que identifican al usuario asociado al subproceso.
• El descriptor de seguridad identifica el propietario del objeto y contiene una lista de control de acceso discrecional (DACL). La DACL contiene entradas de control de acceso (ACE), cada una de las cuales especifica los derechos de acceso permitidos o denegados a un usuario o grupo específico.

El sistema comprueba la DACL del objeto, buscando ACE que se aplican a los SID de usuario y grupo desde el token de acceso del subproceso. El sistema comprueba cada ACE hasta que se concede o se deniega el acceso o hasta que no hay más ACE que comprobar. Concebiblemente, una lista de control de acceso (ACL) podría tener varios ACL que se aplican a los SID del token. Y, si esto ocurre, se acumulan los derechos de acceso concedidos por cada ACE. Por ejemplo, si una ACE concede acceso de lectura a un grupo y otra ACE concede acceso de escritura a un usuario que es miembro del grupo, el usuario puede tener acceso de lectura y escritura al objeto.

En la ilustración siguiente se muestra la relación entre estos bloques de información de seguridad: