V računalniških operacijskih sistemih in drugih programskih okvirih je žeton za dostop vsaka podatkovna struktura, ki vsebuje varnostne informacije, ki jih potrebuje proces za dostop do zaščitenega predmeta ali drugega procesa, ki zahteva avtorizacijo. Varni objekti so običajno podatki v datotečnem sistemu z opredeljenimi pravicami branja in pisanja, proces pa je kateri koli drug program ali storitev, ki zahteva pooblastilo za dostop do svojih funkcij. Medtem ko je žeton za dostop preprosto vsebnik, ki lahko hrani vse informacije, se običajno uporablja za shranjevanje uporabniških privilegijev.
Koncept žetona za dostop so si najprej zamislili in uporabljali operacijski sistemi in programi Microsoft®, vendar jih je njihova uporabnost odnesla drugam. Vmesnik za programiranje aplikacij (API) za Google opisuje metodo za uporabo žetonov za dostop med programiranjem aplikacij, ki potrebujejo dostop do podatkov, povezanih z Googlovim uporabniškim računom. Nekatere velike platforme za družbena omrežja uporabljajo tudi žetone za dostop v svojem API-ju.
V bistvu, ko se uporabnik prijavi v operacijski sistem ali okvir programske opreme, sistem preveri uporabnika in geslo v varnostni bazi podatkov in ustvari se žeton za dostop, ki identificira uporabnika do katerega koli predmeta ali procesa v sistemu. Vsi procesi, kot so aplikacije, programi ali storitve, ki jih zažene uporabnik, bodo nosili žeton za dostop s seboj. Žeton za dostop mora torej shraniti več bitov podatkov, ki jih drug program ali objekt preveri, da odobri dostop.
Žetoni za dostop vsebujejo varnostne identifikatorje (SID), običajno številčne kode, za uporabnika, vse uporabniške skupine, ki jim uporabnik pripada, in trenutno prijavno sejo. Žeton vsebuje tudi seznam vseh privilegijev, ki so dovoljeni uporabniku ali skupinam. Obstaja nekaj različnih vrst žetonov za dostop, zato mora žeton identificirati tudi svojo vrsto, bodisi primarno ali lažno predstavljanje. Primarni žeton za dostop je standardni tip, ki se uporablja, vendar je mogoče ustvariti tudi žeton za lažno predstavljanje, ki deluje v imenu uporabnika.
Ko je dostopni žeton poklican, da opravi svoje delo, naleti na varnostni referenčni monitor (SRM), storitev, ki spremlja dostop do objektov in procesov v sistemu. SRM izvleče varnostni deskriptor predmeta ali procesa za primerjavo z žetonom za dostop. Varnostni deskriptor vsebuje seznam nadzora dostopa (ACL), kjer vsak vnos nadzora dostopa (ACE) definira določena dovoljenja za ta objekt ali proces. Na primer, v primeru datoteke v sistemu varnostni deskriptor vsebuje informacije o tem, kateri uporabniki ali skupine imajo dovoljenje za branje ali pisanje v datoteko. Če se žeton za dostop, ki zahteva dostop za odpiranje ali urejanje datoteke, ne ujema z dovoljenji v varnostnem deskriptorju, dostop ne uspe in uporabniku je onemogočen dostop do datoteke.