Le attività applicative vengono eseguite con l'identità del tenant quando non richiedono privilegi. Root coordina ciò che deve modificare utenti, servizi o metadata, ma il suo perimetro viene ridotto.
Una lezione centrale del progetto riguarda i percorsi modificabili dal tenant. Verificare un nome e usarlo in seguito non garantisce che rappresenti ancora lo stesso oggetto. Per le normalizzazioni privilegiate, Fliclic apre componenti senza seguire symlink e modifica l'oggetto attraverso il descriptor già controllato.
Il principio è più generale di un singolo helper: l'amministratore non deve riaprire per pathname un oggetto scelto dentro un albero mutabile quando esiste un'operazione descriptor-relative o quando il lavoro può essere delegato all'UID dell'ambiente.
