AcceptSecurityContext (Negotiate) 関数を使用すると、トランスポート アプリケーションのサーバー コンポーネントは、サーバーとリモート クライアントの間にセキュリティ コンテキストを確立できます。 リモート クライアントは InitializeSecurityContext (Negotiate) 関数を使用して 、セキュリティ コンテキストを確立するプロセスを開始します。 サーバーは、 セキュリティ コンテキストの確立を完了するためにリモート クライアントから 1 つ以上の応答トークンを要求できます。
構文
SECURITY_STATUS SEC_Entry AcceptSecurityContext(
_In_opt_ PCredHandle phCredential,
_Inout_opt_ PCtxtHandle phContext,
_In_opt_ PSecBufferDesc pInput,
_In_ ULONG fContextReq,
_In_ ULONG TargetDataRep,
_Inout_opt_ PCtxtHandle phNewContext,
_Inout_opt_ PSecBufferDesc pOutput,
_Out_ PULONG pfContextAttr,
_Out_opt_ PTimeStamp ptsTimeStamp
);
パラメーター
phCredential[in, optional]
サーバーの資格情報へのハンドル。 サーバーは、このハンドルを取得するために SECPKG_CRED_INBOUND または SECPKG_CRED_BOTH フラグを設定して AcquireCredentialsHandle (Negotiate) 関数を呼び出します。
phContext[in, out, optional]
CtxtHandle 構造体へのポインター。
AcceptSecurityContext (Negotiate) の最初の呼び出しでは、このポインターはNULL。 後続の呼び出しでは、 phContext は、最初の呼び出しによって phNewContext パラメータで返された、部分的に形成されたコンテキストへのハンドルです。
警告
AcceptSecurityContext (Negotiate) の同時呼び出しでは、同じコンテキスト ハンドルを使用しないでください。 セキュリティ サービス プロバイダーの API 実装はスレッド セーフではありません。
pInput[in, optional]
入力バッファー記述子を含む InitializeSecurityContext (Negotiate) のクライアント呼び出しによって生成される SecBufferDesc 構造体へのポインター。
チャネル バインディング情報は、InitializeSecurityContext (General) 関数の呼び出しによって生成されたバッファーに加えて、SECBUFFER_CHANNEL_BINDINGS型の SecBuffer 構造体を渡すことによって指定できます。 チャネル バインド バッファーのチャネル バインド情報は、認証に使用されるクライアントの Schannel コンテキストで QueryContextAttributes (Schannel) 関数を呼び出すことによって取得できます。
fContextReq[in]
コンテキストを確立するためにサーバーが必要とする属性を指定するビット フラグ。 ビットフラグは、ビット単位のOR 演算を使用して組み合わせることができます。 このパラメーターには、次の値のいずれかを指定できます。
| 価値 | 意味 |
|---|---|
| ASC_REQ_CONFIDENTIALITY | メッセージを暗号化および復号化します。 |
| ASC_REQ_CONNECTION | セキュリティ コンテキストでは、書式設定メッセージは処理されません。 |
| ASC_REQ_DELEGATE | サーバーはクライアントになりすますことが許可されます。 Kerberos に対して有効です。 制約付き委任の場合は、このフラグを無視します。 |
| ASC_REQ_EXTENDED_ERROR | エラーが発生すると、リモート パーティに通知されます。 |
| ASC_REQ_INTEGRITY | メッセージに署名し、署名を検証します。 |
| ASC_REQ_REPLAY_DETECT | 再生されたパケットを検出します。 |
| ASC_REQ_SEQUENCE_DETECT | シーケンス外で受信したメッセージを検出します。 |
可能な属性フラグとその意味については、 コンテキスト要件を参照してください。 このパラメータに使用されるフラグには、ASC_REQ というプレフィックスが付きます (例: ASC_REQ_DELEGATE)。
要求された属性は、クライアントでサポートされていない可能性があります。 詳細については、この記事の pfContextAttr パラメーターを参照してください。
TargetDataRep[in]
ターゲット上のバイト順序などのデータ表現。 このパラメータは、 SECURITY_NATIVE_DREP または SECURITY_NETWORK_DREP のいずれかになります。
phNewContext[in, out, optional]
CtxtHandle 構造体へのポインター。
AcceptSecurityContext (Negotiate) の最初の呼び出しで、このポインターは新しいコンテキスト ハンドルを受け取ります。 後続の呼び出しでは、 phNewContext は phContext パラメータで指定されたハンドルと同じになる場合があります。
phNewContext は NULL にしないでください。
pOutput[in, out, optional]
出力バッファ記述子を含む SecBufferDesc 構造体へのポインタ。 このバッファーは、 InitializeSecurityContext (Negotiate) への追加の呼び出しへの入力のためにクライアントに送信されます。 関数が SEC_E_OK を返す場合でも、出力バッファが生成される場合があります。 生成されたバッファはすべてクライアント アプリケーションに送り返す必要があります。
pfContextAttr[out]
確立されたコンテキストの属性を示すビット フラグのセットを受け取る変数へのポインター。 さまざまな属性の説明については、「コンテキスト要件」を参照してください。 このパラメータに使用されるフラグには、ASC_RET というプレフィックスが付きます (例: ASC_RET_DELEGATE)。
最終的な関数呼び出しが正常に返されるまで、セキュリティ関連の属性をチェックしないでください。 ASC_RET_ALLOCATED_MEMORY フラグなど、セキュリティに関連しない属性フラグは、最終的な戻りの前にチェックできます。
ptsTimeStamp[out, optional]
コンテキストの有効期限を受け取る TimeStamp 構造体へのポインター。 セキュリティ パッケージ では、この値を常にローカル時間で返すことをお勧めします。
注
認証プロセスの最後の呼び出しまでは、ネゴシエーションの後の段階でさらに情報が提供されるため、コンテキストの有効期限が不正確になる可能性があります。 したがって、関数の最後の呼び出しまで、 ptsTimeStamp は NULL である必要があります。
戻り値
この関数は、次のいずれかの値を返します。
| リターンコード/値 | 説明 |
|---|---|
| 関数が失敗しました。 要求された操作を完了するために必要なメモリが不足しています。 |
| 関数が失敗しました。 SSPI エラー コードにマップされていないエラーが発生しました。 |
| 関数が失敗しました。 関数に渡されたハンドルが無効です。 |
| 関数が失敗しました。 関数に渡されたトークンが無効です。 |
| ログオンに失敗しました。 |
| 関数が失敗しました。 認証のために機関に問い合わせできませんでした。 これは次の条件が原因である可能性があります。
|
| 関数は成功しました。 [*セキュリティ コンテキスト*](..クライアントから受信した /secgloss/s-gly.md) が受け入れられました。 関数によって出力トークンが生成された場合は、それをクライアント プロセスに送信する必要があります。 |
| 関数は成功しました。 サーバーは [CompleteAuthToken](/windows/win32/api/sspi/nf-sspi-completeauthtoken) を呼び出し、出力トークンをクライアントに渡す必要があります。 その後、サーバーはクライアントからのリターン トークンを待機し、[AcceptSecurityContext (Negotiate)](acceptsecuritycontext--negotiate.md) を別の呼び出しを行います。 |
| 関数は成功しました。 サーバーは、クライアントからのメッセージの作成を完了し、[CompleteAuthToken](/windows/win32/api/sspi/nf-sspi-completeauthtoken) 関数を呼び出す必要があります。 |
| 関数は成功しました。 サーバーは出力トークンをクライアントに送信し、返されるトークンを待機する必要があります。 返されたトークンは、[AcceptSecurityContext (Negotiate)](acceptsecuritycontext--negotiate.md) への別の呼び出しのために pInput で渡す必要があります。 |
注釈
AcceptSecurityContext (Negotiate) 関数は、InitializeSecurityContext (Negotiate) 関数に対応するサーバーです。
サーバーはクライアントから要求を受信すると、 fContextReq パラメータを使用してセッションに必要な内容を指定します。 この方法では、サーバーはクライアントが機密セッションまたは 整合性チェック済みセッションを使用できる必要があることを指定でき、その要求を満たすことができないクライアントを拒否できます。 あるいは、サーバーは何も要求せず、クライアントが提供できるものや要求するものはすべて pfContextAttr パラメータで返されます。
相互認証などの複数段階の認証をサポートするパッケージの場合、呼び出しシーケンスは次のようになります。
- クライアントはトークンをサーバーに送信します。
- サーバーは AcceptSecurityContext (Negotiate) を最初に呼び出します。これにより、応答トークンが生成され、クライアントに送信されます。
- クライアントはトークンを受け取り、 InitializeSecurityContext (Negotiate) に渡します。 InitializeSecurityContext (Negotiate) がSEC_E_OKを返した場合、相互認証が完了し、セキュリティで保護されたセッションを開始できます。 InitializeSecurityContext (Negotiate) からエラー コードが返された場合、相互認証ネゴシエーションは終了します。 それ以外の場合は、 InitializeSecurityContext (Negotiate) によって返されるセキュリティ トークンがクライアントに送信され、手順 2 と 3 が繰り返されます。
- AcceptSecurityContext (Negotiate) の同時呼び出しでは phContext 値を使用しないでください。 セキュリティ プロバイダーの実装はスレッド セーフではありません。
fContextReq および pfContextAttr パラメータは、さまざまなコンテキスト属性を表すビットマスクです。 さまざまな属性の説明については、「コンテキスト要件」を参照してください。
注
pfContextAttr パラメータは、どの正常な戻り値でも有効ですが、コンテキストのセキュリティ面に関するフラグを調べる必要があるのは、最終的に正常に戻ったときのみです。 中間の戻り値は、たとえば、ISC_RET_ALLOCATED_MEMORY フラグを設定できます。
呼び出し元は、最終的なコンテキスト属性が十分かどうかを判断します。 たとえば、機密性 (暗号化) が要求されたが確立できなかった場合、一部のアプリケーションでは接続を直ちにシャットダウンすることを選択する場合があります。 セキュリティ コンテキスト を確立できない場合、サーバーは DeleteSecurityContext 関数を呼び出して、部分的に作成されたコンテキストを解放する必要があります。 DeleteSecurityContext 関数を呼び出すタイミングについては、 DeleteSecurityContextを参照してください。
セキュリティ コンテキスト が確立された後、サーバー アプリケーションは QuerySecurityContextToken 関数を使用して、クライアント証明書がマップされたユーザー アカウントへのハンドルを取得できます。 また、サーバーは ImpersonateSecurityContext 関数を使用してユーザーを偽装することもできます。
必要条件
| 要件 | 価値 |
|---|---|
| サポートされる最小クライアント | Windows XP [デスクトップ アプリのみ] |
| サポートされている最小サーバー | Windows Server 2003 [デスクトップ アプリのみ] |
| ヘッダ | Sspi.h (Security.h を含む) |
| 図書館 | Secur32.lib |
| DLL | Secur32.dll |