De functie AcceptSecurityContext (Schannel)

Met de functie AcceptSecurityContext (Schannel) kan het serveronderdeel van een transporttoepassing een beveiligingscontext tussen de server en een externe client tot stand brengen. De externe client gebruikt de functie InitializeSecurityContext (Schannel) om het proces van het tot stand brengen van een beveiligingscontext te starten. De server kan een of meer antwoordtokens van de externe client vereisen om de beveiligingscontext tot stand te brengen.

Syntaxis

SECURITY_STATUS SEC_Entry AcceptSecurityContext(
  _In_opt_    PCredHandle    phCredential,
  _Inout_opt_ PCtxtHandle    phContext,
  _In_opt_    PSecBufferDesc pInput,
  _In_        ULONG          fContextReq,
  _In_        ULONG          TargetDataRep,
  _Inout_opt_ PCtxtHandle    phNewContext,
  _Inout_opt_ PSecBufferDesc pOutput,
  _Out_       PULONG         pfContextAttr,
  _Out_opt_   PTimeStamp     ptsTimeStamp
);

Parameterwaarden

phCredential-[in, optional]

Een ingang naar de referenties van de server. De server roept de functie AcquireCredentialsHandle (Schannel) aan met de SECPKG_CRED_INBOUND of SECPKG_CRED_BOTH vlag die is ingesteld om deze ingang op te halen.

phContext-[in, out, optional]

Een aanwijzer naar een CtxtHandle structuur. Bij de eerste aanroep van AcceptSecurityContext (Schannel) is NULLdeze aanwijzer. Bij volgende aanroepen is phContext de ingang voor de gedeeltelijk gevormde context die is geretourneerd in de parameter phNewContext door de eerste aanroep.

[in, optional]

Een aanwijzer naar een SecBufferDesc-structuur die wordt gegenereerd door een clientaanroep omSecurityContext (Schannel) te initialiseren die de descriptor voor de invoerbuffer bevat.

Wanneer u de Schannel-provider voor beveiligingsondersteuning (SSP) gebruikt, moet de eerste buffer van het type SECBUFFER_TOKEN zijn en het beveiligingstoken bevatten dat van de client is ontvangen. De tweede buffer moet van het type SECBUFFER_EMPTY zijn.

fContextReq-[in]

Bitvlagken die de kenmerken opgeven die door de server zijn vereist om de context tot stand te brengen. Bitvlagmen kunnen worden gecombineerd met bitwise-OF bewerkingen. Deze parameter kan een of meer van de volgende waarden zijn.

Zie Contextvereistenvoor mogelijke kenmerkvlagmen en betekenissen. Vlaggen die voor deze parameter worden gebruikt, worden voorafgegaan door ASC_REQ, bijvoorbeeld ASC_REQ_DELEGATE.

De aangevraagde kenmerken worden mogelijk niet ondersteund door de client. Zie de parameter pfContextAttr voor meer informatie.

TargetDataRep-[in]

Deze parameter wordt niet gebruikt met Schannel. Geef nul op voor deze parameter.

phNewContext-[in, out, optional]

Een aanwijzer naar een CtxtHandle structuur. Bij de eerste aanroep van AcceptSecurityContext (Schannel) ontvangt deze aanwijzer de nieuwe contextgreep. Bij volgende aanroepen kan phNewContext- hetzelfde zijn als de ingang die is opgegeven in de parameter phContext. phNewContext mag nooit zijn NULL.

pOutput-[in, out, optional]

Een aanwijzer naar een SecBufferDesc structuur die de uitvoerbufferdescriptor bevat. Deze buffer wordt naar de client verzonden voor invoer in aanvullende aanroepen naar InitializeSecurityContext (Schannel). Er kan een uitvoerbuffer worden gegenereerd, zelfs als de functie SEC_E_OK retourneert. Elke gegenereerde buffer moet worden teruggestuurd naar de clienttoepassing.

Bij uitvoer ontvangt deze buffer een token voor de beveiligingscontext. Het token moet naar de client worden verzonden. De functie kan ook een buffer van het type SECBUFFER_EXTRA retourneren. Bovendien moet de beller een buffer van het type SECBUFFER_ALERT doorgeven. Als er een waarschuwing wordt gegenereerd, bevat deze buffer informatie over die waarschuwing en mislukt de functie.

pfContextAttr-[out]

Een aanwijzer naar een variabele die een set bitvlaggen ontvangt die de kenmerken van de tot stand gebrachte context aangeven. Zie Contextvereistenvoor een beschrijving van de verschillende kenmerken. Vlaggen die voor deze parameter worden gebruikt, worden voorafgegaan door ASC_RET, bijvoorbeeld ASC_RET_DELEGATE.

Controleer pas op beveiligingskenmerken als de laatste functie-aanroep is geretourneerd. Kenmerkvlagmen die niet zijn gerelateerd aan beveiliging, zoals de vlag ASC_RET_ALLOCATED_MEMORY, kunnen worden gecontroleerd voordat de definitieve terugkeer wordt uitgevoerd.

ptsTimeStamp[out, optional]

Een aanwijzer naar een TimeStamp structuur die de verlooptijd van de context ontvangt. Het is raadzaam dat het beveiligingspakket deze waarde altijd in lokale tijd retourneert.

Dit is optioneel wanneer u de Schannel-SSP gebruikt. Wanneer de externe partij een certificaat heeft opgegeven dat moet worden gebruikt voor verificatie, ontvangt deze parameter de verlooptijd voor dat certificaat. Als er geen certificaat is opgegeven, wordt een maximale tijdwaarde geretourneerd.

Retourwaarde

Deze functie retourneert een van de volgende waarden.

Opmerkingen

De functie AcceptSecurityContext (Schannel) is de server tegenhanger van de functie InitializeSecurityContext (Schannel ).

Wanneer de server een aanvraag van een client ontvangt, gebruikt de server de parameter fContextReq om op te geven wat de sessie vereist. Op deze manier kan een server opgeven dat clients in staat moeten zijn om een vertrouwelijke of integriteitscheckte sessie te gebruiken en clients die niet aan die vraag kunnen voldoen, kunnen weigeren. Een server kan ook niets vereisen en wat de client ook kan opgeven of vereisen, wordt geretourneerd in de parameter pfContextAttr .

Voor een pakket dat ondersteuning biedt voor meervoudige verificatie, zoals wederzijdse verificatie, is de aanroepvolgorde als volgt:

1. De client verzendt een token naar de server.
2. De server roept AcceptSecurityContext (Schannel) de eerste keer aan, waarmee een antwoordtoken wordt gegenereerd dat vervolgens naar de client wordt verzonden.
3. De client ontvangt het token en geeft het door aan InitializeSecurityContext (Schannel). Als InitializeSecurityContext (Schannel) SEC_E_OK retourneert, is wederzijdse verificatie voltooid en kan er een beveiligde sessie worden gestart. Als InitializeSecurityContext (Schannel) een foutcode retourneert, wordt de wederzijdse verificatieonderhandeling beëindigd. Anders wordt het beveiligingstoken dat wordt geretourneerd door InitializeSecurityContext (Schannel) naar de client verzonden en worden stap 2 en 3 herhaald.
4. Gebruik de phContext-waarde niet in gelijktijdige aanroepen naar AcceptSecurityContext (Schannel). De implementatie in de beveiligingsproviders is niet thread-safe.

De parameters fContextReq en pfContextAttr zijn bitmaskers die verschillende contextkenmerken vertegenwoordigen. Zie Contextvereistenvoor een beschrijving van de verschillende kenmerken.

De aanroeper is verantwoordelijk voor het bepalen of de uiteindelijke contextkenmerken voldoende zijn. Als bijvoorbeeld vertrouwelijkheid (versleuteling) is aangevraagd, maar niet tot stand kon worden gebracht, kunnen sommige toepassingen ervoor kiezen om de verbinding onmiddellijk af te sluiten. Als de beveiligingscontext niet tot stand kan worden gebracht, moet de server de gedeeltelijk gemaakte context vrij maken door de functie DeleteSecurityContext aan te roepen. Zie DeleteSecurityContextvoor informatie over wanneer u de functie DeleteSecurityContext aanroept.

Nadat de beveiligingscontext tot stand is gebracht, kan de servertoepassing de functie QuerySecurityContextToken gebruiken om een ingang op te halen voor het gebruikersaccount waaraan het clientcertificaat is toegewezen. De server kan ook de functie ImpersonateSecurityContext gebruiken om de gebruiker te imiteren.

Vereisten

Zie ook

SSPI-functies

DeleteSecurityContext

InitializeSecurityContext (Schannel)