Tietokoneen käyttöjärjestelmissä ja muissa ohjelmistokehyksissä käyttöoikeustunnus on mikä tahansa tietorakenne, joka sisältää suojaustiedot, joita prosessi tarvitsee suojatun objektin tai muun lupaa vaativan prosessin käyttämiseksi. Suojatut objektit ovat yleensä tiedostojärjestelmän tietoja, joille on määritetty luku- ja kirjoitusoikeudet, ja prosessi on mikä tahansa muu ohjelma tai palvelu, joka vaatii luvan käyttää sen toimintoja. Vaikka käyttöoikeustunnus on yksinkertaisesti säilö, joka pystyy säilyttämään mitä tahansa tietoa, sitä käytetään yleensä käyttäjän oikeuksien tallentamiseen.
Käyttöoikeustunnuksen käsite on ensisijaisesti suunniteltu ja käytetty Microsoft® -käyttöjärjestelmissä ja -ohjelmissa, mutta niiden hyödyllisyys on vienyt ne muualle. Googlen sovellusohjelmointirajapinta (API) kuvaa menetelmän käyttöoikeustunnusten käyttämiseksi ohjelmoitaessa sovelluksia, joiden on päästävä käsiksi Google -käyttäjän tiliin liittyviin tietoihin. Jotkut suurista sosiaalisen verkostoitumisen alustoista käyttävät myös käyttöoikeustunnuksia sovellusliittymässään.
Pohjimmiltaan, kun käyttäjä kirjautuu käyttöjärjestelmään tai ohjelmistojärjestelmään, järjestelmä vahvistaa käyttäjän ja salasanan suojaustietokannassa ja luodaan käyttöoikeustunnus, joka tunnistaa käyttäjän mihin tahansa järjestelmän kohteeseen tai prosessiin. Kaikki käyttäjän käynnistämät prosessit, kuten sovellukset, ohjelmat tai palvelut, kantavat käyttöoikeustunnuksen mukanaan. Käyttöoikeustunnuksen on siis tallennettava useita databittejä, joita toinen ohjelma tai objekti tarkistaa pääsyn myöntämiseksi.
Käyttöoikeustunnukset sisältävät suojaustunnisteet (SID), tyypillisesti numeeriset koodit, käyttäjälle, kaikille käyttäjäryhmille, joihin käyttäjä kuuluu, ja nykyisen kirjautumisistunnon. Tunnus sisältää myös luettelon kaikista käyttäjän tai ryhmien oikeuksista. Käyttöoikeustunnuksia on pari eri tyyppiä, joten tunnuksen on myös tunnistettava sen tyyppi, joko ensisijainen tai toisena henkilönä esiintyminen. Ensisijainen käyttöoikeustunnus on vakiotyyppi, mutta myös toisena henkilönä toimiva tunniste voidaan luoda toimimaan käyttäjän puolesta.
Kun käyttöoikeustunnusta pyydetään suorittamaan tehtävänsä, se kohtaa turvareferenssimonitorin (SRM), joka valvoo järjestelmän objektien ja prosessien käyttöä. SRM hakee objektin tai prosessin suojauskuvaajan vertailtavaksi käyttöoikeustunnukseen. Suojauskuvaaja sisältää pääsynhallintaluettelon (ACL), jossa kukin kulunvalvontamerkintö (ACE) määrittää tietyt käyttöoikeudet kyseiselle objektille tai prosessille. Esimerkiksi jos järjestelmässä on tiedosto, suojauskuvaaja sisältää tietoja siitä, mitkä käyttäjät tai ryhmät voivat lukea tai kirjoittaa tiedostoon. Jos käyttöoikeustunnus, joka pyytää pääsyä tiedoston avaamiseen tai muokkaamiseen, ei vastaa suojauskuvaajan oikeuksia, käyttö epäonnistuu ja käyttäjältä evätään pääsy tiedostoon.