AcceptSecurityContext (Kerberos)-Funktion

Die AcceptSecurityContext (Kerberos)- Funktion ermöglicht es der Serverkomponente einer Transportanwendung, einen Sicherheitskontext zwischen dem Server und einem Remoteclient einzurichten. Der Remoteclient verwendet die Funktion InitializeSecurityContext (Kerberos), um den Prozess der Einrichtung eines Sicherheitskontexts zu starten. Der Server kann ein oder mehrere Antworttoken vom Remoteclient benötigen, um den Sicherheitskontext abzuschließen.

Syntax

SECURITY_STATUS SEC_Entry AcceptSecurityContext(
  _In_opt_    PCredHandle    phCredential,
  _In_opt_    PCtxtHandle    phContext,
  _In_opt_    PSecBufferDesc pInput,
  _In_        ULONG          fContextReq,
  _In_        ULONG          TargetDataRep,
  _Inout_opt_ PCtxtHandle    phNewContext,
  _Inout_opt_ PSecBufferDesc pOutput,
  _Out_       PULONG         pfContextAttr,
  _Out_opt_   PTimeStamp     ptsExpiry
);

Die Parameter

phCredential (englisch)[in, optional]

Ein Handle für die Anmeldeinformationen des Servers. Der Server ruft die AcquireCredentialsHandle (Kerberos)- Funktion auf, wobei entweder das SECPKG_CRED_INBOUND oder SECPKG_CRED_BOTH Flag festgelegt ist, um dieses Handle abzurufen.

phContext (englisch)[in, out, optional]

Ein Zeiger auf eine CtxtHandle-Struktur. Beim ersten Aufruf von AcceptSecurityContext (Kerberos) lautet NULLdieser Zeiger . Bei nachfolgenden Aufrufen ist phContext der Handle für den teilweise gebildeten Kontext, der im phNewContext-Parameter vom ersten Aufruf zurückgegeben wurde.

pEingang[in, optional]

Ein Zeiger auf eine SecBufferDesc-Struktur , die von einem Clientaufruf an InitializeSecurityContext (Kerberos) generiert wird, der den Eingabepufferdeskriptor enthält.

Kanalbindungsinformationen können durch Übergeben einer SecBuffer-Struktur vom Typ SECBUFFER_CHANNEL_BINDINGS zusätzlich zu den Puffern angegeben werden, die durch den Aufruf der Funktion InitializeSecurityContext (General) generiert werden. Die Kanalbindungsinformationen für den Kanalbindungspuffer können durch Aufrufen der QueryContextAttributes (Schannel) -Funktion im Schannel-Kontext abgerufen werden, den der Client für die Authentifizierung verwendet hat.

fContextReq[in]

Bitflags, die die vom Server zum Einrichten des Kontexts erforderlichen Attribute angeben. Bitflags können mithilfe von bitwise-OR-Vorgängen kombiniert werden. Dieser Parameter kann einen der folgenden Werte annehmen.

Mögliche Attributflags und deren Bedeutungen finden Sie unter Kontextanforderungen. Kennzeichen, die für diesen Parameter verwendet werden, wird ASC_REQ vorangestellt, z. B. ASC_REQ_DELEGATE.

Die angeforderten Attribute werden möglicherweise vom Client nicht unterstützt. Weitere Informationen finden Sie im Parameter pfContextAttr .

TargetDataRep[in]

Die Datendarstellung, z. B. Byte-Sortierung, auf dem Ziel. Dieser Parameter kann entweder SECURITY_NATIVE_DREP oder SECURITY_NETWORK_DREP sein.

phNewContext[in, out, optional]

Ein Zeiger auf eine CtxtHandle-Struktur. Beim ersten Aufruf von AcceptSecurityContext (Kerberos) empfängt dieser Zeiger das neue Kontexthandle. Bei nachfolgenden Aufrufen kann phNewContext mit dem im phContext-Parameter angegebenen Handle identisch sein. phNewContext sollte niemals NULL sein.

p-Ausgang[in, out, optional]

Ein Zeiger auf eine SecBufferDesc-Struktur, die den Ausgabepufferdeskriptor enthält. Dieser Puffer wird an den Client gesendet, um zusätzliche Aufrufe an InitializeSecurityContext (Kerberos) einzugeben. Ein Ausgabepuffer kann auch dann generiert werden, wenn die Funktion SEC_E_OK zurückgibt. Jeder generierte Puffer muss an die Clientanwendung zurückgesendet werden.

pfContextAttr[out]

Ein Zeiger auf eine Variable, die eine Reihe von Bitflags empfängt, die die Attribute des festgelegten Kontexts anzeigen. Eine Beschreibung der verschiedenen Attribute finden Sie unter Kontextanforderungen. Kennzeichen, die für diesen Parameter verwendet werden, wird ASC_RET vorangestellt, z. B. ASC_RET_DELEGATE.

Überprüfen Sie erst auf sicherheitsbezogene Attribute, wenn der endgültige Funktionsaufruf erfolgreich zurückgegeben wurde. Attributflags, die nichts mit der Sicherheit zu tun haben, wie z. B. das ASC_RET_ALLOCATED_MEMORY-Flag, können vor der endgültigen Rückgabe überprüft werden.

ptsTimeStamp[out, optional]

Ein Zeiger auf eine TimeStamp-Struktur, welche die Ablaufzeit des Kontexts empfängt. Es wird empfohlen, dass das Sicherheitspaket diesen Wert immer in Ortszeit zurückgibt.

Rückgabewert

Diese Funktion gibt einen der folgenden Werte zurück.

Bemerkungen

Die AcceptSecurityContext (Kerberos)-Funktion ist das Server-Gegenstück zur Funktion InitializeSecurityContext (Kerberos).

Wenn der Server eine Anforderung von einem Client empfängt, verwendet der Server den fContextReq-Parameter, um anzugeben, was er für die Sitzung benötigt. Auf diese Weise kann ein Server angeben, dass Clients in der Lage sein müssen, eine vertrauliche oder integritätsgeprüfte Sitzung zu verwenden, und sie kann Clients ablehnen, die diese Anforderung nicht erfüllen können. Alternativ kann ein Server nichts erfordern, und was der Client bereitstellen kann oder erfordert, wird im Parameter pfContextAttr zurückgegeben.

Für ein Paket, das die mehrstufige Authentifizierung unterstützt, z. B. die gegenseitige Authentifizierung, lautet die Aufrufsequenz wie folgt:

1. Der Client überträgt ein Token an den Server.
2. Der Server ruft AcceptSecurityContext (Kerberos) zum ersten Mal auf, wodurch ein Antworttoken generiert wird, das dann an den Client gesendet wird.
3. Der Client empfängt das Token und übergibt es an InitializeSecurityContext (Kerberos). Wenn InitializeSecurityContext (Kerberos) SEC_E_OK zurückgibt, wurde die gegenseitige Authentifizierung abgeschlossen, und eine sichere Sitzung kann beginnen. Wenn InitializeSecurityContext (Kerberos) einen Fehlercode zurückgibt, endet die gegenseitige Authentifizierungsverhandlung. Andernfalls wird das von InitializeSecurityContext (Kerberos) zurückgegebene Sicherheitstoken an den Client gesendet, und die Schritte 2 und 3 werden wiederholt.
4. Verwenden Sie nicht den PhContext-Wert in gleichzeitigen Aufrufen von AcceptSecurityContext (Kerberos). Die Implementierung in den Sicherheitsanbietern ist nicht threadsicher.

Bei den Parametern fContextReq und pfContextAttr handelt es sich um Bitmasken, die verschiedene Kontextattribute darstellen. Eine Beschreibung der verschiedenen Attribute finden Sie unter Kontextanforderungen.

Der Aufrufer ist dafür verantwortlich, zu bestimmen, ob die endgültigen Kontextattribute ausreichen. Wenn z. B. Vertraulichkeit (Verschlüsselung) angefordert wurde, aber nicht hergestellt werden konnte, können einige Anwendungen die Verbindung sofort beenden. Wenn der Sicherheitskontext nicht hergestellt werden kann, muss der Server den teilweise erstellten Kontext durch Aufrufen der DeleteSecurityContext-Funktion freigeben. Informationen zum Aufrufen der DeleteSecurityContext-Funktion finden Sie unter DeleteSecurityContext.

Nachdem der Sicherheitskontext eingerichtet wurde, kann die Serveranwendung die QuerySecurityContextToken-Funktion verwenden, um ein Handle für das Benutzerkonto abzurufen, dem das Clientzertifikat zugeordnet wurde. Außerdem kann der Server die ImpersonateSecurityContext-Funktion verwenden, um die Identität des Benutzers zu imitieren.

Anforderungen

Siehe auch

SSPI-Funktionen

DeleteSecurityContext

InitializeSecurityContext (Kerberos)