学海苦作舟，书山勤为径

一个访问控制实体（ACE）是ACL中的一个元素。一个ACL可能包含0到多个ACE。每个ACE通过一个指定的托管来控制或监视一个对象。更多关于添加、删除、改变ACE，见修改ACL对象。

Window Me/98/95：不支持访问控制

有6种类型的ACE，三种被所有的安全对象支持，其他类型是对象特定的ACE，由目录服务对象支持。

所有ACE类型都包含下面访问控制信息：

1．  一个安全标示符号（SID）来标示ACE应用的托管

2．  一个访问掩码指定ACE控制的访问权限

3．  一个指示ACE类型的标志位

4．  一系列位标志决定是否子容器或对象可以继承ACE从基本对象到ACL附着的对象。

下表列出了三个所有安全对象支持的ACE类型：

对于对象指定的ACE，参见对象指定ACE。

一个托管是一个用户帐户、组帐户或登录会话到一个ACE应用。每个ACL中的ACE都有一个SID来标示托管。用户帐户包含人使用的帐户或程序帐户（例如，Window服务用来登录到本地计算机的）。组帐户不能用来登录到计算机，但在ACE中非常有用，用来拒绝或允许一到多个用户帐户的访问权限。一个登录SID表示当前的登录会话用来允许和拒绝访问权限，直到用户登出。

NT4.0和后来版本中访问控制函数使用TRUSTEE结构体来表示一个托管。这个结构体能使你用一个字符串或一个SID来表示一个托管。如果你使用一个名字，从TRUSTEE结构创建ACE的函数执行SID缓冲区分配工作并且查询SID对应的帐户名称。有两个助手函数，BuildTrusteeWithSid和BuildTrusteeWithName，可以用SID或名字来初始化一个TRUSTEE结构。BuildTrusteeWithObjectsAndSid和BuildTrusteeWithObjectsAndName允许你使用一个对象指定的ACE信息来初始化一个TRUSTEE结构体。其他3个助手函数，GetTrusteeFrorm、GetTrusteeName和GetTrusteeType，返回TRUSTEE结构各成员的值。
Window XP/2000：TRUSTEE的ptstrName成员可以是一个指向OBJECTS_AND_NAME或OBJECTS_AND_SID结构体的指针。这些结构体说明对象指定ACE的信息，除了托管的名字和SID之外。这可以象SetEntriesInAcl和GetExplicitEntriesFromAcl这样的函数存储对象指定ACE的信息到EXPLICIT_ACCESS结构体的Trustee成员中。

TRUSTEE结构体：

typedef struct _TRUSTEE {
  PTRUSTEE pMultipleTrustee;
  MULTIPLE_TRUSTEE_OPERATION MultipleTrusteeOperation;
  TRUSTEE_FORM TrusteeForm;
  TRUSTEE_TYPE TrusteeType;
  LPTSTR ptstrName;

安全对象使用Windows 访问掩码格式，四个高位说明通用访问权限。每个安全对象类型映射到这些位到一系列标准和对象特殊访问权限。例如：一个Window文件对象映射GENERIC_READ位到READ_CONTROL和SYNCHRONIZE 标准访问权限和FILE_READ_DATA、FILE_READ_EA和FILE_READ_ATTRIBUTES对象指定访问权限。其他类型对象映射GENERIC_READ位到与类型对象适应的一些访问权限。

你可以在你打开一个对象句柄的时候使用通用访问权限来指定需要的访问类型；这通常比指定所有对应标准和特指权限要简单。

下表显示了通用访问权限定义的常量。

安全描述符包含了安全对象相关的安全信息。安全描述父由一个SECURITY_DESCRIPTOR结构体组成，它关联到一个安全对象。一个安全描述符包含下面的安全信息：

1．  拥有者或基本组对象的安全ID（SIDs）

2．  DACL指定特殊用户或组的允许或拒绝的访问权限

3．  SACL指定对象通用评估记录尝试的访问类型

4．  一个控制位集合，说明安全描述符的含义或它每个成员

程序不需要直接操作安全描述符的内容。Windows API提供设置和返回安全描述符号的函数。另外，有用来创建和初始化一个新对象安全描述符号的函数。

Windows NT 3.51和更早的版本，Windows ME/98/95：参见：低级访问控制。

一个安全对象有一个安全描述符。所有有名字的 Windows 对象都是安全的。有些没有名字的对象，例如：进程和线程对象也有安全描述符。对于大多数安全对象来说，你可以在创建对象的时候指定一个对象的安全描述符。例如：你能在 CreateFile 和 CreateProcess 函数中指定安全描述符。

另外， Windows 安全函数是你能够为操作系统创建的而不是 Windows 创建的安全对象得到和设置安全信息。 Windows 安全函数也提供支持私有使用安全描述符和程序定义对象。更多关于私有安全对象信息参见客户服务器访问控制。

每个安全对象定义它自己的一系列访问权限，并且它拥有的映射通用访问权限。更多关于指定和通用访问权限的信息，参见对象类型总览。

下表显示了函数来操作通用安全对象的安全信息：

 

登录会话

一个登录绘画从用户登录到计算机时候开始。所有登录会话中的进程有相同的基本访问标记。访问标记包含登录会话相关的安全上下文，包含用户的 SID 和登录标示以及登录 SID 。

登录 SID

一个安全标示符（ SID ）用来表示登录会话。你可以使用 DACL 中的登录 SID 来在登录会话过程中控制访问。登录 SID 只有在用户登出的时候无效。登录 SID 是计算机运行的时候唯一的。没有其他会话有系统的 SID 。然而，可能的登录 SID 集合在计算机启动的时候被复位。为了从访问标记中返回登录 SID ，为 TokenGroups 调用 GetTokenInformation 函数。

访问标记

一个访问标记包含登录会话的安全信息。系统在用户登录的时候创建一个安全标记，每个进程执行用户由于的标记副本。标记表示用户、用户组和用户权限。系统使用标记来控制访问安全对象和控制用户在本地计算机上执行各种系统相关操作。两种访问标记：私有的和伪装的。

伪装标记：

一个被创建来捕获客户进程安全信息、允许服务器在安全操作中伪装客户进程的访问标记。

主标记：

一个 Windows 内核创建的标记。可能分配给一个进程来表示默认的进程安全信息。