Udostępnij przez


Dobrze znane identyfikatory SID

Dobrze znane identyfikatory zabezpieczeń (SID) identyfikują grupy ogólne i użytkowników ogólnych. Na przykład istnieją dobrze znane identyfikatory SID do identyfikowania następujących grup i użytkowników:

  • Wszyscy lub Świat, która jest grupą zawierającą wszystkich użytkowników.
  • CREATOR_OWNER, który jest używany jako symbol zastępczy w dziedziczonej ACE. Gdy ACE jest dziedziczone, system zastępuje identyfikator SID CREATOR_OWNER identyfikatorem SID twórcy obiektu.
  • Grupa Administratorzy dla wbudowanej domeny na komputerze lokalnym.

Istnieją powszechnie znane identyfikatory SID, które mają znaczenie dla wszystkich bezpiecznych systemów korzystających z tego modelu zabezpieczeń, w tym systemów operacyjnych innych niż Windows. Ponadto istnieją dobrze znane identyfikatory SID, które mają znaczenie tylko w systemach Windows.

Interfejs API systemu Windows definiuje zestaw stałych dla dobrze znanych autorytetów identyfikatorów i identyfikatorów względnych (RID). Te stałe umożliwiają tworzenie dobrze znanych identyfikatorów SID. Poniższy przykład łączy stałe SECURITY_WORLD_SID_AUTHORITY i SECURITY_WORLD_RID, aby pokazać uniwersalny dobrze znany identyfikator SID dla specjalnej grupy reprezentującej wszystkich użytkowników (wszyscy lub świat):

S-1-1-0

W tym przykładzie użyto notacji ciągów dla identyfikatorów SID, gdzie S oznacza ciąg jako SID, pierwszy 1 jest poziomem rewizji identyfikatora SID, a pozostałe dwie cyfry są stałymi SECURITY_WORLD_SID_AUTHORITY i SECURITY_WORLD_RID.

Za pomocą funkcji AllocateAndInitializeSid można utworzyć identyfikator SID, łącząc wartość organu identyfikatora z maksymalnie ośmioma wartościami subautorytetów. Aby na przykład określić, czy zalogowany użytkownik jest członkiem określonej dobrze znanej grupy, wywołaj metodę AllocateAndInitializeSid , aby utworzyć identyfikator SID dla dobrze znanej grupy i użyć funkcji EqualSid , aby porównać ten identyfikator SID z identyfikatorami SID grupy w tokenie dostępu użytkownika. Aby zapoznać się z przykładem, zobacz Wyszukiwanie identyfikatora SID w tokenie dostępu w języku C++. Należy wywołać funkcję FreeSid , aby zwolnić identyfikator SID przydzielony przez AllocateAndInitializeSid.

Pozostała część tej sekcji zawiera tabele dobrze znanych identyfikatorów SID oraz tabele autorytetu identyfikatora i stałych podautorytetu, których można użyć do budowy tych identyfikatorów SID.

Poniżej przedstawiono kilka powszechnie znanych identyfikatorów SID.

Powszechnie znany identyfikator SID Identifies
Zerowy SID
Wartość ciągu: S-1-0-0
Grupa bez członków. Jest to często używane, gdy wartość identyfikatora SID nie jest znana.
World
Wartość ciągu: S-1-1-0
Grupa zawierająca wszystkich użytkowników.
Local
Wartość ciągu: S-1-2-0
Użytkownicy, którzy logują się do terminali lokalnie (fizycznie) połączonych z systemem.
Identyfikator twórcy/właściciela
Wartość ciągu: S-1-3-0
Identyfikator zabezpieczeń, który ma zostać zastąpiony przez identyfikator zabezpieczeń użytkownika, który utworzył nowy obiekt. Ten identyfikator SID jest używany w dziedzicznych ACE.
Identyfikator grupy twórców
Wartość ciągu: S-1-3-1
Identyfikator zabezpieczeń, który ma być zastąpiony przez identyfikator SID grupy podstawowej użytkownika tworzącego nowy obiekt. Użyj tego identyfikatora SID w dziedziczalnych kontrolach dostępu.

W poniższej tabeli wymieniono wstępnie zdefiniowane stałe urzędu identyfikatora. Pierwsze cztery wartości są używane z powszechnie znanymi identyfikatorami SID; ostatnia wartość jest używana z dobrze znanymi identyfikatorami SID systemu Windows.

Urząd identyfikatora Wartość Wartość ciągu
SECURITY_NULL_SID_AUTHORITY 0 S-1-0
SECURITY_WORLD_SID_AUTHORITY 1 S-1-1
SECURITY_LOCAL_SID_AUTHORITY 2 S-1-2
SECURITY_CREATOR_SID_AUTHORITY 3 S-1-3
SECURITY_NT_AUTHORITY 5 S-1-5

Następujące wartości identyfikatorów RID są używane z powszechnie znanymi identyfikatorami SID. Kolumna Urząd identyfikatora zawiera prefiks urzędu identyfikatora, za pomocą którego można połączyć identyfikator RID w celu utworzenia uniwersalnego dobrze znanego identyfikatora SID.

Urząd odpowiedzialny za identyfikatory względne Wartość Wartość ciągu
SECURITY_NULL_RID 0 S-1-0-0
SECURITY_WORLD_RID 0 S-1-1-0
SECURITY_LOCAL_RID 0 S-1-2-0
ZABEZPIECZENIE_LOKALNEGO_LOGOWANIA_RID 1 S-1-2-1
SECURITY_CREATOR_OWNER_RID 0 S-1-3-0
SECURITY_CREATOR_GROUP_RID 1 S-1-3-1

Zdefiniowany autorytet identyfikatora SECURITY_NT_AUTHORITY (S-1-5) generuje identyfikatory SID, które nie są uniwersalne, ale są znaczące tylko dla instalacji systemu Windows. Aby utworzyć dobrze znane identyfikatory SID, możesz użyć następujących wartości identyfikatorów RID z SECURITY_NT_AUTHORITY.

Stały Identifies
SECURITY_DIALUP_RID
Wartość ciągu: S-1-5-1
Użytkownicy logujący się do terminali przy użyciu modemu telefonicznego. Jest to identyfikator grupy.
SECURITY_NETWORK_RID
Wartość ciągu: S-1-5-2
Użytkownicy logujący się w sieci. Jest to identyfikator grupy dodany do tokenu procesu, gdy był zalogowany w sieci. Odpowiedni typ logowania jest LOGON32_LOGON_NETWORK.
Identyfikator_partii_bezpieczeństwa
Wartość ciągu: S-1-5-3
Użytkownicy logujący się przy użyciu funkcji kolejki wsadowej. Jest to identyfikator grupy dodany do tokenu procesu, gdy został zarejestrowany jako zadanie wsadowe. Odpowiedni typ logowania jest LOGON32_LOGON_BATCH.
SECURITY_INTERACTIVE_RID
Wartość ciągu: S-1-5-4
Użytkownicy logujący się do operacji interakcyjnej. Jest to identyfikator grupy dodany do tokenu procesu, gdy był zalogowany interaktywnie. Odpowiedni typ logowania to LOGON32_LOGON_INTERACTIVE.
SECURITY_LOGON_IDS_RID
Wartość ciągu: S-1-5-5-*X*-*Y*
Sesja logowania. Aby zapewnić, że tylko procesy w danej sesji logowania mogą uzyskać dostęp do obiektów stacji okienkowej dla tej sesji. Wartości X i Y dla tych identyfikatorów SID są różne dla każdej sesji logowania. Wartość SECURITY_LOGON_IDS_RID_COUNT jest liczbą identyfikatorów URI w tym identyfikatorze (5-X-Y).
SECURITY_SERVICE_RID
Wartość ciągu: S-1-5-6
Konta autoryzowane do logowania się jako usługa. Jest to identyfikator grupy dodany do tokenu procesu, gdy został zarejestrowany jako usługa. Odpowiedni typ logowania to LOGON32_LOGON_SERVICE.
SECURITY_ANONYMOUS_LOGON_RID
Wartość ciągu: S-1-5-7
Logowanie anonimowe lub logowanie z sesją null.
Identyfikator Bezpieczeństwa Proxy (SECURITY_PROXY_RID)
Wartość ciągu: S-1-5-8
Serwer pośredniczący.
BEZPIECZEŃSTWO_KONTROLERY_PRZEDSIĘBIORSTWOWE_RID
Wartość ciągu: S-1-5-9
Kontrolery przedsiębiorstwa.
SECURITY_PRINCIPAL_SELF_RID
Wartość ciągu: S-1-5-10
Identyfikator zabezpieczeń PRINCIPAL_SELF może być używany w ACL obiektu użytkownika lub grupy. Podczas sprawdzania dostępu system zastępuje identyfikator SID identyfikatorem SID obiektu. Identyfikator SID PRINCIPAL_SELF jest przydatny do określania dziedziczonego ACE, który ma zastosowanie do obiektu użytkownika lub grupy, który dziedziczy ACE. Jest to jedyny sposób reprezentowania identyfikatora SID utworzonego obiektu w domyślnym deskryptorze zabezpieczeń schematu.
SECURITY_AUTHENTICATED_USER_RID
Wartość ciągu: S-1-5-11
Uwierzytelnieni użytkownicy.
SECURITY_RESTRICTED_CODE_RID
Wartość ciągu: S-1-5-12
Ograniczony kod.
SECURITY_TERMINAL_SERVER_RID
Wartość ciągu: S-1-5-13
Usługi terminalowe. Automatycznie dodawane do tokenu bezpieczeństwa użytkownika, który loguje się na serwer terminali.
SECURITY_LOCAL_SYSTEM_RID
Wartość ciągu: S-1-5-18
Specjalne konto używane przez system operacyjny.
SECURITY_NT_NON_UNIQUE
Wartość ciągu: S-1-5-21
SIDS nie są unikatowe.
SECURITY_BUILTIN_DOMAIN_RID
Wartość ciągu: S-1-5-32
Wbudowana domena systemowa.
SECURITY_WRITE_RESTRICTED_CODE_RID
Wartość ciągu: S-1-5-33
Pisanie kodu z ograniczeniami.
SECURITY_RESTRICTED_SERVICES_BASE_RID
Wartość ciągu:S-1-5-99
Usługi z ograniczeniami.

Następujące identyfikatory względne są dla każdej domeny.

RID Identifies
DOMAIN_ALIAS_RID_RAS_SERVERS
Wartość: 0x00000229
Grupa lokalna reprezentująca serwery RAS i IAS. Ta grupa zezwala na dostęp do różnych atrybutów obiektów użytkownika.
DOMAIN_ALIAS_RID_CERTSVC_DCOM_ACCESS_GROUP
Wartość: 0x0000023E
Grupa użytkowników, którzy mogą łączyć się z urzędami certyfikacji przy użyciu modelu obiektów składników rozproszonych (DCOM).
DOMAIN_USER_RID_ADMIN
Wartość: 0x000001F4
Konto użytkownika administracyjnego w domenie.
DOMAIN_USER_RID_GUEST
Wartość: 0x000001F5
Konto użytkownika-gościa w domenie. Użytkownicy, którzy nie mają konta, mogą automatycznie logować się do tego konta.
DOMAIN_GROUP_RID_ADMINS (Grupa administratorów domeny)
Wartość: 0x00000200
Grupa administratorów domeny. To konto istnieje tylko w systemach z systemami operacyjnymi serwera.
DOMAIN_GROUP_RID_USERS
Wartość: 0x00000201
Grupa zawierająca wszystkie konta użytkowników w domenie. Wszyscy użytkownicy są automatycznie dodawani do tej grupy.
DOMAIN_GROUP_RID_GUESTS
Wartość: 0x00000202
Konto grupy gościa w domenie.
DOMAIN_GROUP_RID_COMPUTERS
Wartość: 0x00000203
Grupa komputerów domeny. Wszystkie komputery w domenie są członkami tej grupy.
DOMAIN_GROUP_RID_CONTROLLERS
Wartość: 0x00000204
Grupa kontrolerów domeny. Wszystkie DCs w domenie są członkami tej grupy.
DOMAIN_GROUP_RID_CERT_ADMINS
Wartość: 0x00000205
Grupa wydawców certyfikatów. Komputery z usługami certyfikatów są członkami tej grupy.
DOMAIN_GROUP_RID_ENTERPRISE_READONLY_DOMAIN_CONTROLLERS
Wartość: 0x000001F2
Grupa korporacyjnych kontrolerów domeny tylko do odczytu.
DOMAIN_GROUP_RID_SCHEMA_ADMINS
Wartość: 0x00000206
Grupa administratorów schematu. Członkowie tej grupy mogą modyfikować schemat usługi Active Directory.
DOMAIN_GROUP_RID_ENTERPRISE_ADMINS
Wartość: 0x00000207
Grupa administratorów przedsiębiorstwa. Członkowie tej grupy mają pełny dostęp do wszystkich domen w lesie usługi Active Directory. Administratorzy przedsiębiorstwa są odpowiedzialni za operacje na poziomie lasu, takie jak dodawanie lub usuwanie nowych domen.
DOMAIN_GROUP_RID_POLICY_ADMINS
Wartość: 0x00000208
Grupa administratorów polityki.
Grupa_domenowa_RID_kontrolery_tylko_do_odczytu
Wartość: 0x00000209
Grupa kontrolerów domeny tylko do odczytu
DOMAIN_GROUP_RID_KLONOWALNE_KONTROLERY
Wartość: 0x0000020A
Grupa klonowalnych kontrolerów domeny.
DOMAIN_GROUP_RID_CDC_RESERVED
Wartość: 0x0000020C
Zarezerwowana grupa CDC.
DOMAIN_GROUP_RID_PROTECTED_USERS (Grupa chronionych użytkowników w domenie)
Wartość: 0x0000020D
Grupa chronionych użytkowników.
DOMAIN_GROUP_RID_KEY_ADMINS
Wartość: 0x0000020E
Grupa administratorów kluczy.
DOMAIN_GROUP_RID_ENTERPRISE_KEY_ADMINS
Wartość: 0x0000020F
Grupa administratorów kluczy przedsiębiorstwa.
DOMAIN_GROUP_RID_FOREST_TRUSTS
Wartość: 0x00000210
Podstawowa grupa kont użytkowników trustu forest.
DOMAIN_GROUP_RID_EXTERNAL_TRUSTS
Wartość: 0x00000211
Podstawowa grupa kont użytkowników zaufania zewnętrznego.

Następujące RID-y są używane do określania obowiązkowego poziomu integralności.

RID Wartość Identifies
SECURITY_MANDATORY_UNTRUSTED_RID 0x00000000 Niezaufany.
SECURITY_MANDATORY_LOW_RID 0x00001000 Niska integralność.
SECURITY_MANDATORY_MEDIUM_RID 0x00002000 Średnia integralność.
SECURITY_MANDATORY_MEDIUM_PLUS_RID SECURITY_MANDATORY_MEDIUM_RID + 0x100 Średnia wysoka integralność.
SECURITY_MANDATORY_HIGH_RID 0X00003000 Wysoka integralność.
SECURITY_MANDATORY_SYSTEM_RID 0x00004000 Integralność systemu.
SECURITY_MANDATORY_PROTECTED_PROCESS_RID 0x00005000 Proces chroniony.

W poniższej tabeli przedstawiono przykłady RID-ów względnych domeny, których można użyć do tworzenia znanych identyfikatorów SI dla grup lokalnych (aliasów). Aby uzyskać więcej informacji na temat grup lokalnych i globalnych, zobacz Funkcje grupy lokalnej i funkcje grupy.

RID Identifies
DOMAIN_ALIAS_RID_ADMINS
Wartość: 0x00000220
Wartość ciągu: S-1-5-32-544
Grupa lokalna używana do administrowania domeną.
DOMAIN_ALIAS_RID_USERS
Wartość: 0x00000221
Wartość ciągu: S-1-5-32-545
Grupa lokalna reprezentująca wszystkich użytkowników w domenie.
DOMAIN_ALIAS_RID_GUESTS
Wartość: 0x00000222
Wartość ciągu: S-1-5-32-546
Grupa lokalna reprezentująca gości domeny.
DOMAIN_ALIAS_RID_POWER_USERS
Wartość: 0x00000223
Wartość ciągu: S-1-5-32-547
Grupa lokalna używana do reprezentowania użytkownika lub zestawu użytkowników, którzy oczekują, że traktują system tak, jakby był to komputer osobisty, a nie jako stacja robocza dla wielu użytkowników.
DOMAIN_ALIAS_RID_ACCOUNT_OPS
Wartość: 0x00000224
Wartość ciągu: S-1-5-32-548
Grupa lokalna, która istnieje tylko w systemach z systemami operacyjnymi serwera. Ta grupa lokalna zezwala na kontrolę nad kontami nieadministratora.
DOMAIN_ALIAS_RID_SYSTEM_OPS
Wartość: 0x00000225
Wartość ciągu: S-1-5-32-549
Grupa lokalna, która istnieje tylko w systemach z systemami operacyjnymi serwera. Ta grupa lokalna wykonuje funkcje administracyjne systemu, a nie w tym funkcje zabezpieczeń. Ustanawia udziały sieciowe, kontroluje drukarki, odblokowuje stacje robocze i wykonuje inne operacje.
DOMAIN_ALIAS_RID_PRINT_OPS
Wartość: 0x00000226
Wartość ciągu: S-1-5-32-550
Grupa lokalna, która istnieje tylko w systemach z systemami operacyjnymi serwera. Ta grupa lokalna steruje drukarkami i kolejkami wydruku.
DOMAIN_ALIAS_RID_BACKUP_OPS
Wartość: 0x00000227
Wartość ciągu: S-1-5-32-551
Grupa lokalna używana do kontrolowania przypisywania uprawnień do tworzenia kopii zapasowej i przywracania plików.
DOMAIN_ALIAS_RID_REPLICATOR
Wartość: 0x00000228
Wartość ciągu: S-1-5-32-552
Grupa lokalna odpowiedzialna za kopiowanie baz danych zabezpieczeń z podstawowego kontrolera domeny do kontrolerów domeny kopii zapasowej. Te konta są używane tylko przez system.
DOMAIN_ALIAS_RID_PREW2KCOMPACCESS
Wartość: 0x0000022A
Wartość ciągu: S-1-5-32-554
Grupa lokalna, która istnieje tylko w systemach z systemem Windows 2000 Server. Aby uzyskać więcej informacji, zobacz Zezwalanie na dostęp anonimowy.
DOMAIN_ALIAS_RID_Użytkownicy pulpitu zdalnego
Wartość: 0x0000022B
Wartość ciągu: S-1-5-32-555
Grupa lokalna reprezentująca wszystkich użytkowników pulpitu zdalnego.
DOMAIN_ALIAS_RID_NETWORK_CONFIGURATION_OPS
Wartość: 0x0000022C
Wartość ciągu: S-1-5-32-556
Grupa lokalna reprezentująca konfigurację sieci.
DOMAIN_ALIAS_RID_Budowniczowie_NaTrust_Zewnętrznego_Lasu
Wartość: 0x0000022D
Wartość ciągu: S-1-5-32-557
Grupa lokalna reprezentująca użytkowników jakiejkolwiek organizacji zarządzającej lasem.
DOMAIN_ALIAS_RID_MONITORING_USERS
Wartość: 0x0000022E
Wartość ciągu: S-1-5-32-558
Grupa lokalna reprezentująca wszystkich monitorowanych użytkowników.
Alias_domeny_RID_logowania_użytkowników
Wartość: 0x0000022F
Wartość ciągu: S-1-5-32-559
Lokalna grupa odpowiedzialna za rejestrowanie użytkowników.
DOMAIN_ALIAS_RID_AUTHORIZATIONACCESS
Wartość: 0x00000230
Wartość ciągu: S-1-5-32-560
Grupa lokalna reprezentująca cały autoryzowany dostęp.
DOMAIN_ALIAS_RID_TS_LICENSE_SERVERS
Wartość: 0x00000231
Wartość ciągu: S-1-5-32-561
Grupa lokalna, która istnieje tylko w systemach z systemami operacyjnymi serwera, które umożliwiają korzystanie z usług terminalowych i dostępu zdalnego.
DOMAIN_ALIAS_RID_DCOM_USERS
Wartość: 0x00000232
Wartość ciągu: S-1-5-32-562
Grupa lokalna reprezentująca użytkowników, którzy mogą używać modelu obiektów składników rozproszonych (DCOM).
DOMAIN_ALIAS_RID_IUSERS
Wartość: 0X00000238
Wartość ciągu: S-1-5-32-568
Grupa lokalna reprezentująca użytkowników Internetu.
DOMAIN_ALIAS_RID_CRYPTO_OPERATORS
Wartość: 0x00000239
Wartość ciągu: S-1-5-32-569
Grupa lokalna reprezentująca dostęp do operatorów kryptograficznych.
DOMAIN_ALIAS_RID_CACHEABLE_PRINCIPALS_GROUP
Wartość: 0x0000023B
Wartość ciągu: S-1-5-32-571
Grupa lokalna reprezentująca główne podmioty, które mogą być przechowywane w pamięci podręcznej.
DOMAIN_ALIAS_RID_NON_CACHEABLE_PRINCIPALS_GROUP
Wartość: 0x0000023C
Wartość ciągu: S-1-5-32-572
Grupa lokalna reprezentująca pryncypały, których nie można buforować.
DOMAIN_ALIAS_RID_EVENT_LOG_READERS_GROUP
Wartość: 0x0000023D
Wartość ciągu: S-1-5-32-573
Lokalna grupa użytkowników reprezentująca osoby przeglądające dzienniki zdarzeń.
DOMAIN_ALIAS_RID_CERTSVC_DCOM_ACCESS_GROUP
Wartość: 0x0000023E
Wartość ciągu: S-1-5-32-574
Lokalna grupa użytkowników, którzy mogą łączyć się z urzędami certyfikacji przy użyciu modelu obiektów składników rozproszonych (DCOM).
DOMAIN_ALIAS_RID_RDS_REMOTE_ACCESS_SERVERS
Wartość: 0x0000023F
Wartość ciągu: S-1-5-32-575
Lokalna grupa reprezentująca serwery zdalnego dostępu RDS.
ALIAS_DOMENY_RID_SERWERY_POINT_KOŃCOWY_RDS
Wartość: 0x00000240
Wartość ciągu: S-1-5-32-576
Grupa lokalna reprezentująca serwery punktów końcowych.
DOMAIN_ALIAS_RID_RDS_MANAGEMENT_SERVERS
Wartość: 0x00000241
Wartość ciągu: S-1-5-32-577
Grupa lokalna reprezentująca serwery zarządzania.
DOMAIN_ALIAS_RID_HYPER_V_ADMINS
Wartość: 0x00000242
Wartość ciągu: S-1-5-32-578
Grupa lokalna reprezentująca administratorów Hyper-V.
DOMAIN_ALIAS_RID_ACCESS_CONTROL_ASSISTANCE_OPS
Wartość: 0x00000243
Wartość ciągu: S-1-5-32-579
Grupa lokalna reprezentująca pomoc w kontroli dostępu OPS.
DOMAIN_ALIAS_RID_UŻYTKOWNICY_ZDALNEGO_ZARZĄDZANIA
Wartość: 0x00000244
Wartość ciągu: S-1-5-32-580
Grupa lokalna reprezentująca użytkowników zdalnego zarządzania.
DOMAIN_ALIAS_RID_DEFAULT_ACCOUNT
Wartość: 0x00000245
Wartość ciągu: S-1-5-32-581
Grupa lokalna reprezentująca konto domyślne.
DOMAIN_ALIAS_RID_STORAGE_REPLICA_ADMINS
Wartość: 0x00000246
Wartość ciągu: S-1-5-32-582
Lokalna grupa reprezentująca administratorów usługi Storage Replica.
DOMAIN_ALIAS_RID_DEVICE_OWNERS
Wartość: 0x00000247
Wartość ciągu: S-1-5-32-583
Grupa lokalna reprezentująca może wprowadzać ustawienia oczekiwane dla właścicieli urządzeń.
DOMAIN_ALIAS_RID_USER_MODE_HARDWARE_OPERATORS
Wartość: 0x00000248
Wartość ciągu: S-1-5-32-584
Członkowie tej grupy mogą uzyskiwać dostęp do sterowników maperów trybu użytkownika.
DOMAIN_ALIAS_RID_OPENSSH_USERS
Wartość: 0x00000249
Wartość ciągu: S-1-5-32-585
Członkowie tej grupy mogą uzyskiwać dostęp do komputera za pomocą protokołu OpenSSH.

Wyliczenie WELL_KNOWN_SID_TYPE definiuje listę powszechnie używanych identyfikatorów SID. Ponadto język SDDL ( Security Descriptor Definition Language ) używa ciągów SID do odwołwania się do dobrze znanych identyfikatorów SID w formacie ciągu.