Un système à mémoire virtuelle répartie unique permet l'utilisation des adresses virtuelles comme identificateurs globaux uniques. Il faut donc séparer la résolution des adresses et le contrôle d'accès, parce qu'une adresse virtuelle est potentiellement visible par toute application dans le système. Nous proposons un modèle de contrôle d'accès pour une mémoire virtuelle répartie unique qui se base sur le modèle à capacités cachées. Le modèle se base sur les notions suivantes : la capacité (un droit d'accès simple), le domaine de protection (définit le contexte de protection par l'ensemble des capacités disponibles dans le domaine) et l'appel de changement de domaine (qui permet d'appeler une procédure désignée dans un autre domaine de protection). Deux principes de base sont très importants pour le modèle : l'utilisation des capacités confinées et la délégation contrôlée à travers des interfaces de protection. Les interfaces de protection permettent une séparation entre la spécification de la protection et le code de l'application. L'évaluation de notre modèle indique qu'il permet de réaliser la plupart des modèles de contrôle d'accès existants y compris le modèle mandataire de Bell & LaPadula. Le modèle à capacités cachées a été réalisé dans Arias, une mémoire virtuelle répartie unique conçue et développée au sein du projet SIRAC. Les expériences avec cette réalisation montrent que la séparation entre la spécification de la protection et le code de l'application facilite la réutilisation logicielle et l'évolution de l'application. L'efficacité d'un appel de changement de domaine correspond à celui d'un appel RPC standard.