De functie AcceptSecurityContext (Kerberos)

Met de functie AcceptSecurityContext (Kerberos) kan het serveronderdeel van een transporttoepassing een beveiligingscontext tot stand brengen tussen de server en een externe client. De externe client gebruikt de functie InitializeSecurityContext (Kerberos) om het proces van het instellen van een beveiligingscontext te starten. De server kan een of meer antwoordtokens van de externe client vereisen om de beveiligingscontext tot stand te brengen.

Syntaxis

SECURITY_STATUS SEC_Entry AcceptSecurityContext(
  _In_opt_    PCredHandle    phCredential,
  _In_opt_    PCtxtHandle    phContext,
  _In_opt_    PSecBufferDesc pInput,
  _In_        ULONG          fContextReq,
  _In_        ULONG          TargetDataRep,
  _Inout_opt_ PCtxtHandle    phNewContext,
  _Inout_opt_ PSecBufferDesc pOutput,
  _Out_       PULONG         pfContextAttr,
  _Out_opt_   PTimeStamp     ptsExpiry
);

Parameterwaarden

phCredential-[in, optional]

Een ingang naar de referenties van de server. De server roept de functie AcquireCredentialsHandle (Kerberos) aan met de SECPKG_CRED_INBOUND of SECPKG_CRED_BOTH vlag ingesteld om deze handle op te halen.

phContext-[in, out, optional]

Een aanwijzer naar een CtxtHandle structuur. Bij de eerste aanroep van AcceptSecurityContext (Kerberos) is NULLdeze aanwijzer . Bij volgende aanroepen is phContext de ingang voor de gedeeltelijk gevormde context die is geretourneerd in de parameter phNewContext door de eerste aanroep.

[in, optional]

Een aanwijzer naar een SecBufferDesc-structuur die wordt gegenereerd door een clientaanroep naar InitializeSecurityContext (Kerberos) die de invoerbufferdescriptor bevat.

Informatie over kanaalbindingen kan worden opgegeven door een SecBuffer-structuur van het type SECBUFFER_CHANNEL_BINDINGS naast de buffers die door de aanroep naar de functie InitializeSecurityContext (Algemeen) worden doorgegeven. De kanaalbindingsinformatie voor de kanaalbindingsbuffer kan worden verkregen door de functie QueryContextAttributes (Schannel) aan te roepen in de Schannel-context die de client heeft gebruikt om te verifiëren.

fContextReq-[in]

Bitvlagken die de kenmerken opgeven die door de server zijn vereist om de context tot stand te brengen. Bitvlagmen kunnen worden gecombineerd met bitwise-OF bewerkingen. Deze parameter kan een of meer van de volgende waarden zijn.

Zie Contextvereistenvoor mogelijke kenmerkvlagmen en betekenissen. Vlaggen die voor deze parameter worden gebruikt, worden voorafgegaan door ASC_REQ, bijvoorbeeld ASC_REQ_DELEGATE.

De aangevraagde kenmerken worden mogelijk niet ondersteund door de client. Zie de parameter pfContextAttr voor meer informatie.

TargetDataRep-[in]

De gegevensweergave, zoals bytevolgorde, op het doel. Deze parameter kan worden SECURITY_NATIVE_DREP of SECURITY_NETWORK_DREP.

phNewContext-[in, out, optional]

Een aanwijzer naar een CtxtHandle structuur. Bij de eerste aanroep van AcceptSecurityContext (Kerberos) ontvangt deze aanwijzer de nieuwe contextnaam. Bij volgende aanroepen kan phNewContext- hetzelfde zijn als de ingang die is opgegeven in de parameter phContext. phNewContext mag nooit zijn NULL.

pOutput-[in, out, optional]

Een aanwijzer naar een SecBufferDesc structuur die de uitvoerbufferdescriptor bevat. Deze buffer wordt naar de client verzonden voor invoer in extra aanroepen naar InitializeSecurityContext (Kerberos). Er kan een uitvoerbuffer worden gegenereerd, zelfs als de functie SEC_E_OK retourneert. Elke gegenereerde buffer moet worden teruggestuurd naar de clienttoepassing.

pfContextAttr-[out]

Een aanwijzer naar een variabele die een set bitvlaggen ontvangt die de kenmerken van de tot stand gebrachte context aangeven. Zie Contextvereistenvoor een beschrijving van de verschillende kenmerken. Vlaggen die voor deze parameter worden gebruikt, worden voorafgegaan door ASC_RET, bijvoorbeeld ASC_RET_DELEGATE.

Controleer pas op beveiligingskenmerken als de laatste functie-aanroep is geretourneerd. Kenmerkvlagmen die niet zijn gerelateerd aan beveiliging, zoals de vlag ASC_RET_ALLOCATED_MEMORY, kunnen worden gecontroleerd voordat de definitieve terugkeer wordt uitgevoerd.

ptsTijdstempel[out, optional]

Een aanwijzer naar een TimeStamp structuur die de verlooptijd van de context ontvangt. Het is raadzaam dat het beveiligingspakket deze waarde altijd in lokale tijd retourneert.

Retourwaarde

Deze functie retourneert een van de volgende waarden.

Opmerkingen

De functie AcceptSecurityContext (Kerberos) is de servertegenhanger van de functie InitializeSecurityContext (Kerberos).

Wanneer de server een aanvraag van een client ontvangt, gebruikt de server de parameter fContextReq om op te geven wat de sessie vereist. Op deze manier kan een server opgeven dat clients in staat moeten zijn om een vertrouwelijke of op integriteit gecontroleerde sessie te gebruiken, en kan deze clients weigeren die niet aan die vraag kunnen voldoen. Een server kan ook niets vereisen en wat de client ook kan opgeven of vereisen, wordt geretourneerd in de parameter pfContextAttr .

Voor een pakket dat ondersteuning biedt voor meervoudige verificatie, zoals wederzijdse verificatie, is de aanroepvolgorde als volgt:

1. De client verzendt een token naar de server.
2. De server roept AcceptSecurityContext (Kerberos) de eerste keer aan, waardoor een antwoordtoken wordt gegenereerd dat vervolgens naar de client wordt verzonden.
3. De client ontvangt het token en geeft het door aan InitializeSecurityContext (Kerberos). Als InitializeSecurityContext (Kerberos) SEC_E_OK retourneert, is de onderlinge verificatie voltooid en kan een beveiligde sessie worden gestart. Als InitializeSecurityContext (Kerberos) een foutcode retourneert, wordt de onderhandeling over wederzijdse verificatie beëindigd. Anders wordt het beveiligingstoken dat door InitializeSecurityContext (Kerberos) wordt geretourneerd, naar de client verzonden en worden stap 2 en 3 herhaald.
4. Gebruik de phContext-waarde niet in gelijktijdige aanroepen naar AcceptSecurityContext (Kerberos). De implementatie in de beveiligingsproviders is niet thread-safe.

De parameters fContextReq en pfContextAttr zijn bitmaskers die verschillende contextkenmerken vertegenwoordigen. Zie Contextvereistenvoor een beschrijving van de verschillende kenmerken.

De aanroeper is verantwoordelijk voor het bepalen of de uiteindelijke contextkenmerken voldoende zijn. Als bijvoorbeeld vertrouwelijkheid (versleuteling) is aangevraagd, maar niet tot stand kon worden gebracht, kunnen sommige toepassingen ervoor kiezen om de verbinding onmiddellijk af te sluiten. Als de beveiligingscontext niet kan worden vastgesteld, moet de server de gedeeltelijk gemaakte context vrijmaken door de functie DeleteSecurityContext aan te roepen. Zie DeleteSecurityContextvoor informatie over wanneer u de functie DeleteSecurityContext aanroept.

Nadat de beveiligingscontext is vastgesteld, kan de servertoepassing de functie QuerySecurityContextToken gebruiken om een ingang op te halen voor de gebruikersaccount waaraan het clientcertificaat is toegewezen. De server kan ook de functie ImpersonateSecurityContext gebruiken om zich voor te doen als de gebruiker.

Behoeften

Zie ook

SSPI-functies

DeleteSecurityContext

InitializeSecurityContext (Kerberos)