Щоб контролювати, хто має право працювати з об'єктом, система захисту повинна бути впевнена, що користувач правильно ідентифікований. Таким чином, перша лінія захисту в Windows NT - це вимога, щоб кожен користувач зареєструвався перед початком роботи.
Як описано в гл. 2, "Загальні відомості про систему", невід'ємна частина системи - захищена підсистема, відома як підсистема захисту (security subsystem), відповідає за аутентифікацію (authenticating) користувачів, тобто за перевірку того, що введена користувачем при реєстрації в системі інформація збігається з інформацією, що зберігається в базі даних захисту. Після того, як підсистема захисту визначила, що реєстрація автентична, вона створює об'єкт, який залишається постійно пов'язаним з призначеним для користувача процесом. Цей об'єкт називається маркерами доступу (access token) і служить офіційним посвідченням особи процесу, коли той намагається використовувати будь-якої системний ресурс. Приклад маркера доступу показаний на рис. 3-9.
Перший показаний на малюнку атрибут - це особистий користувальницький ідентифікатор захисту (security ID), який зазвичай відповідає ідентифікатору, що вказується користувачем при реєстрації. У великих організаціях ідентифікатор захисту також може включати в себе назву підрозділу або відділу користувача (наприклад, ENGINEERING_MARYH). Ідентифікатори захисту груп створюються зі списків ідентифікаторів користувачів. Точки зору на другий на рис. 3-9 - це список груп, до яких належить MARYH. Windows NT задає кілька стандартних кодів груп, які включені в маркер MARYH.
Мал. 3-9. Приклад маркера доступу.
При спробі процесу відкрити описувач об'єкта диспетчер об'єктів викликає довідковий монітор захисту. Довідковий монітор захисту отримує маркер доступу, пов'язаний з процесом, і використовує його ідентифікатор захисту і список груп, щоб визначити, чи має процес право доступу до об'єкта.
Невелика кількість чутливих до захисту системних сервісів (таких як створення маркера), також захищені від використання. Атрибут привілеїв перераховує все такі сервіси, до яких має право звертатися користувач. Більшість користувачів не має ніяких привілеїв.
У загальному випадку, користувач, який створив об'єкт, стає його власником і може вирішувати, хто ще має доступ до об'єкта. Список контролю доступу (access control list, ACL) за замовчуванням, що зберігається в маркері доступу, - це початковий список прав доступу, який приєднується до створюваних користувачем об'єктів. Атрибут "первинна група" дозволяє збирати ідентифікатори захисту в групи для організаційних цілей. Це властивість присутня в деяких середовищах ОС, включаючи POSIX.
Більш докладно ідентифікатори захисту і списки управління доступом описані в наступному розділі. Тепер же звернемося до рис. 3-10, де зображені атрибути і сервіси, які застосовуються до об'єктів-маркерами доступу.
До сервісів створення, відкриття та опитування додається ще сервіс установки. Установка атрибутів об'єкта - це поширений сервіс, що надається багатьма об'єктами виконавчої системи NT. Інші три сервісу призначені для використання головним чином програмами адміністрування захисту.
Мал. 3-10. Об'єкт-маркер доступу.