Interaktion mellan trådar och skyddsbara objekt

När en tråd försöker använda ett skyddsbart objektutför systemet en åtkomstkontroll innan tråden kan fortsätta. I en åtkomstkontroll jämför systemet säkerhetsinformationen i trådens åtkomsttoken mot säkerhetsinformationen i objektets säkerhetsbeskrivning.

• Åtkomsttoken innehåller säkerhetsidentifierare (SID) som identifierar användaren som är associerad med tråden.
• Säkerhetsbeskrivningen identifierar objektets ägare och innehåller en diskretionär åtkomstkontrollista (DACL). DACL innehåller åtkomstkontrollposter (ACL), som var och en anger de åtkomsträttigheter som tillåts eller nekas till en viss användare eller grupp.

Systemet kontrollerar objektets DACL och letar efter ACL:er som gäller för användar- och grupp-SID:er från trådens åtkomsttoken. Systemet kontrollerar varje ACE tills åtkomst beviljas eller nekas eller tills det inte finns några fler ACL:er att kontrollera. Det är möjligt att en åtkomstkontrollista (ACL) kan ha flera ACL:er som gäller för tokens SID:er. Och om detta inträffar ackumuleras de åtkomsträttigheter som beviljas av varje ACE. Om ett ACE till exempel ger läsbehörighet till en grupp och ett annat ACE ger skrivåtkomst till en användare som är medlem i gruppen, kan användaren ha både läs- och skrivåtkomst till objektet.

Följande bild visar relationen mellan dessa säkerhetsinformationsblock: