Есть два компьютера PC1 и PC2. Соединены по сети.
На PC2 расшарена папка с файлом и в ACL для этих объектов настроен доступ только для User2.
Лезу с PC1 на PC2 по сети. Windows спрашивает логин/пароль User2. Ввожу верно и открываю папку и данный файл.
В этот момент на PC2 (на который я зашел по сети) в процессе lsass.exe создается новый дескриптор типа "Token" и названием "PC2/User2". У процесса System также создаются дескрипторы типа "File" и в имени локальный путь до файла, который открыт по сети.
Вопрос:
У какого потока какого процесса на PC2 присутствует олицетворяющий маркер доступа User2. Как посмотреть содержимое олицетворяющего маркера доступа?

Дескрипторы смотрел в ProcesExplorer.
Маркеры доступа читал с помощью TokenMaster, но там я видел только первичные маркеры доступа процессов, что в принципе логично, так как олицетворяющий маркер для потока какого-то процесса. А вот какого и какой именно поток - это вопрос.