1 files changed, 4 insertions, 2 deletions
diff --git a/doc/Design.md b/doc/Design.md
index 693cdeb..a908441 100644
--- a/doc/Design.md
+++ b/doc/Design.md
@@ -477,8 +477,10 @@ network:
 - AppContainer外の通常user tokenに戻るbreakawayを許可しない。
 ### 11.2 NTFS ACL
 - Policy Engineが許可pathから必要ACEを導出する。
-- 既存DACL全体を書き換えず、アプリケーションSID向けの必要ACEだけをtransactionalに追加する。
-- 元security descriptorまたは追加ACEの逆操作情報をRecovery Journalへ記録する。
+- 許可pathがdirectoryの場合、そのrootへ`ContainerInherit | ObjectInherit`付きのApplication SID ACEを1件だけtransactionalに追加し、既存およびTask中に作成されたdescendantへ継承させる。descendantごとのDACL列挙・snapshot・明示ACE追加は行わない。
+- 許可pathがfileの場合は、そのfileだけへ継承なしACEを追加する。異なる権限を持つnested rootは別scopeとして逆順cleanupする。
+- protected DACLを持つdescendantの継承保護は解除しない。そのpathはOS拒否のままとし、Sandbox権限を暗黙に拡張しない。
+- rootの元security descriptorをRecovery Journalへ1件記録する。
 - Task終了で追加分を除去し、元状態との整合を検査する。
 ### 11.3 Job Object
 - TaskごとにJob Objectを1つ作成する。