Не позволить другим осуществить доступ к объекту.
Встроенный администратор Win NT в отличие от суперпользователя UNIX может не иметь некоторых разрешений на доступ к объекту. Для реализации этой возможности ID-ры администратора и группы админов могут входить в ACL как и ID-ры рядовых пользователей. Но админ имеет возможность выполнить любые операции с любыми объектами, так как он всегда может стать владельцем объекта, а затем уже как владелец получить полный набор разрешений. Однако вернуть владение предыдущему владельцу объекта админ не может.
При запросе процесса некоторой операции доступа к объекту управление всегда передается монитору безопасности для сравнения ID-ров пользователя и групп из токена доступа с ID-рами в элементах ACL объекта. В отличие от UNIX в элементах ACL могут существовать как списки разрешенных, так и списки запрещенных для пользователя оперций.
В Win NT однозначно определены правила, по которым вновь создаваемому объекту назначается список ACL. Если вызывающий код во время создания объекта явно задает все права доступа вновь создаваемому объекту, то система безопасности приписывает этот ACL объекту. Если же вызывающий код не снабжает объект списком ACL, а объект имеет имя, то применяется принцип наследования разрешения. Но если при этом объект не имеет наследуемых элементов ACL , используется список ACL по умолчанию из токена доступа процесса.
