A restrict ed access token is created from an existing token, and provides less access than that token. A restricted token may be created by changing an attribute of one or more security identifiers allowing access in the parent token to a setting that denies access in the restricted token and/or removing one or more privileges from the restricted token relative to the parent token. A restricted access token also may be created by adding restricted security identifiers thereto. Once created, a process associates another process with the restricted token to launch the other process in a restricted context that is a subset of its own rights and privileges. A kernel-mode security mechanism determines whether the restricted process has access to a resource by first comparing user-based security identifiers in the restricted token and the intended type of action against a list of identifiers and actions associated with the resource. If no restricted security identifiers are in the restricted token, access is determined by this first check, otherwise a second access check further compares the restricted security identifiers against the list of identifiers and actions associated with the resource. With a token having restricted security identifiers, the process is granted access if both the first and second access checks pass. In this manner, a process is capable of restricting another process, such as possibly unruly code, in the actions it can perform.

Περιορίστε το σημείο πρόσβασης των ΕΔ δημιουργείται από ένα υπάρχον σημείο, και παρέχει τη λιγότερη πρόσβαση από εκείνο το σημείο. Ένα περιορισμένο σημείο μπορεί να δημιουργηθεί με την αλλαγή μιας ιδιότητας ενός ή περισσότερων προσδιοριστικών ασφάλειας που επιτρέπει την πρόσβαση στο σημείο γονέων σε μια ρύθμιση που αρνείται την πρόσβαση περιορισμένο στο συμβολικό ή/και την αφαίρεση ενός ή περισσότερων προνομίων από το περιορισμένο σημείο σχετικά με το σημείο γονέων. Ένα περιορισμένο σημείο πρόσβασης μπορεί επίσης να δημιουργηθεί με να προσθέσει τα περιορισμένα προσδιοριστικά ασφάλειας επιπλέον. Μόλις δημιουργηθεί, μια διαδικασία συνδέει μια άλλη διαδικασία με το περιορισμένο σημείο για να προωθήσει την άλλη διαδικασία σε ένα περιορισμένο πλαίσιο που είναι ένα υποσύνολο των δικαιωμάτων και των προνομίων του. Ένας μηχανισμός ασφάλειας πυρήνας-τρόπου καθορίζει εάν η περιορισμένη διαδικασία έχει πρόσβαση σε έναν πόρο με πρώτα να συγκρίνει τα χρήστης-βασισμένα προσδιοριστικά ασφάλειας στο περιορισμένο σημείο και τον προοριζόμενο τύπο δράσης ενάντια σε έναν κατάλογο προσδιοριστικών και ενεργειών που συνδέονται με τον πόρο. Εάν κανένα περιορισμένο προσδιοριστικό ασφάλειας δεν είναι στο περιορισμένο σημείο, η πρόσβαση καθορίζεται από αυτόν τον πρώτο έλεγχο, διαφορετικά ένας δεύτερος έλεγχος πρόσβασης συγκρίνει περαιτέρω τα περιορισμένα προσδιοριστικά ασφάλειας ενάντια στον κατάλογο προσδιοριστικών και ενεργειών που συνδέονται με τον πόρο. Με ένα σημείο που έχει περιορίσει τα προσδιοριστικά ασφάλειας, στη διαδικασία χορηγείται η πρόσβαση εάν και οι πρώτοι και δεύτεροι έλεγχοι πρόσβασης περνούν. Με αυτόν τον τρόπο, μια διαδικασία είναι σε θέση μια άλλη διαδικασία, όπως ο ενδεχομένως απείθαρχος κώδικας, στις ενέργειες που μπορεί να εκτελέσει.