Función AcceptSecurityContext (Negotiate)

La función AcceptSecurityContext (Negotiate) permite al componente de servidor de una aplicación de transporte establecer un contexto de seguridad entre el servidor y un cliente remoto. El cliente remoto usa la función InitializeSecurityContext (Negotiate) para iniciar el proceso de establecimiento de un contexto de seguridad. El servidor puede requerir uno o varios tokens de respuesta del cliente remoto para completar el establecimiento del contexto de seguridad.

Sintaxis

SECURITY_STATUS SEC_Entry AcceptSecurityContext(
  _In_opt_    PCredHandle    phCredential,
  _Inout_opt_ PCtxtHandle    phContext,
  _In_opt_    PSecBufferDesc pInput,
  _In_        ULONG          fContextReq,
  _In_        ULONG          TargetDataRep,
  _Inout_opt_ PCtxtHandle    phNewContext,
  _Inout_opt_ PSecBufferDesc pOutput,
  _Out_       PULONG         pfContextAttr,
  _Out_opt_   PTimeStamp     ptsTimeStamp
);

Parámetros

phCredential[in, optional]

Identificador de las credenciales del servidor. El servidor llama a la función AcquireCredentialsHandle (Negotiate) con la marca SECPKG_CRED_INBOUND o SECPKG_CRED_BOTH establecida para recuperar este identificador.

phContext[in, out, optional]

Puntero a una estructura CtxtHandle. En la primera llamada a AcceptSecurityContext (Negotiate), este puntero es NULL. En las llamadas posteriores, phContext es el identificador del contexto parcialmente formado devuelto por la primera llamada en el parámetro phNewContext.

pInput[in, optional]

Puntero a una estructura SecBufferDesc generada por una llamada de cliente a InitializeSecurityContext (Negotiate) que contiene el descriptor de búfer de entrada.

La información de enlace de canal se puede especificar pasando una estructura SecBuffer de tipo SECBUFFER_CHANNEL_BINDINGS además de los búferes generados por la llamada a la función InitializeSecurityContext (General). La información de enlace de canal para el búfer de enlace de canal se puede obtener llamando a la función QueryContextAttributes (Schannel) en el contexto de Schannel que el cliente usó para autenticarse.

fContextReq[in]

Marcas de bits que especifican los atributos requeridos por el servidor para establecer el contexto. Las marcas de bits se pueden combinar usando operaciones OR bit a bit. Este parámetro puede ser uno o más de los siguientes valores.

Para ver las posibles marcas de atributos y sus significados, consulte Requisitos de contexto. Las marcas usadas para este parámetro tienen como prefijo ASC_REQ, por ejemplo, ASC_REQ_DELEGATE.

Es posible que el cliente no admita los atributos solicitados. Para más información, consulte el parámetro pfContextAttr.

TargetDataRep[in]

Representación de datos, como orden de bytes, en el destino. Este parámetro puede ser SECURITY_NATIVE_DREP o SECURITY_NETWORK_DREP.

phNewContext[in, out, optional]

Puntero a una estructura CtxtHandle. En la primera llamada a AcceptSecurityContext (Negotiate), este puntero recibe el nuevo identificador de contexto. En llamadas posteriores, phNewContext puede coincidir con el identificador especificado en el parámetro phContext. phNewContext nunca debe ser NULL.

pOutput[in, out, optional]

Puntero a una estructura SecBufferDesc que contiene el descriptor de búfer de salida. Este búfer se envía al cliente para la entrada en llamadas adicionales a InitializeSecurityContext (Negotiate). Se puede generar un búfer de salida incluso si la función devuelve SEC_E_OK. Cualquier búfer generado se debe devolver a la aplicación cliente.

pfContextAttr[out]

Puntero a una variable que recibe un conjunto de marcas de bits que indican los atributos del contexto establecido. Para ver descripciones adicionales de los distintos atributos, consulte Requisitos de contexto. Las marcas usadas para este parámetro tienen como prefijo ASC_RET, por ejemplo, ASC_RET_DELEGATE.

No compruebe si hay atributos relacionados con la seguridad hasta que la llamada de función final se devuelva correctamente. Las marcas de atributo no relacionadas con la seguridad, como la marca ASC_RET_ALLOCATED_MEMORY, se pueden comprobar antes de la devolución final.

ptsTimeStamp[out, optional]

Puntero a una estructura TimeStamp que recibe la hora de expiración del contexto. Se recomienda que el paquete de seguridad devuelva siempre este valor en hora local.

Valor devuelto

Esta función devuelve uno de los siguientes valores.

Observaciones

La función AcceptSecurityContext (Negotiate) es el homólogo del servidor de la función InitializeSecurityContext (Negotiate).

Cuando el servidor recibe una solicitud de un cliente, el servidor usa el parámetro fContextReq para especificar lo que requiere de la sesión. De este modo, un servidor puede especificar que los clientes deben ser capaces de usar una sesión confidencial o con comprobación de integridad, y puede rechazar los clientes que no puedan satisfacer esa demanda. Como alternativa, un servidor puede no requerir nada, y lo que el cliente pueda proporcionar o requiera se devuelve en el parámetro pfContextAttr.

Para un paquete que admita la autenticación múltiple, como la autenticación mutua, la secuencia de llamadas es la siguiente:

1. El cliente transmite un token al servidor.
2. El servidor llama a AcceptSecurityContext (Negotiate) la primera vez, que genera un token de respuesta que se envía al cliente.
3. El cliente recibe el token y lo pasa a InitializeSecurityContext (Negotiate). Si InitializeSecurityContext (Negotiate) devuelve SEC_E_OK, se ha completado la autenticación mutua y se puede iniciar una sesión segura. Si InitializeSecurityContext (Negotiate) devuelve un código de error, finaliza la negociación de autenticación mutua. De lo contrario, el token de seguridad devuelto por InitializeSecurityContext (Negotiate) se envía al cliente y se repiten los pasos 2 y 3.
4. No use el valor phContext en llamadas simultáneas a AcceptSecurityContext (Negotiate). La implementación en los proveedores de seguridad no es segura para subprocesos.

Los parámetros fContextReq y pfContextAttr son máscaras de bits que representan varios atributos de contexto. Para ver descripciones adicionales de los distintos atributos, consulte Requisitos de contexto.

El autor de la llamada es responsable de determinar si los atributos de contexto finales son suficientes. Si, por ejemplo, se solicitó la confidencialidad (cifrado), pero no se pudo establecer, algunas aplicaciones pueden optar por cerrar la conexión inmediatamente. Si no se puede establecer el contexto de seguridad, el servidor debe liberar el contexto creado parcialmente llamando a la función DeleteSecurityContext. Para obtener información sobre cuándo llamar a la función DeleteSecurityContext, consulte DeleteSecurityContext.

Una vez establecido el contexto de seguridad, la aplicación de servidor puede usar la función QuerySecurityContextToken para recuperar un identificador de la cuenta de usuario a la que se asignó el certificado de cliente. Además, el servidor puede usar la función ImpersonateSecurityContext para suplantar al usuario.

Requisitos

Consulte también

Funciones SSPI

DeleteSecurityContext

InitializeSecurityContext (Negotiate)