Sesje logowania klienta

Serwer z uprawnieniami SE_TCB_NAME, takimi jak usługa systemu Windows uruchomiona w konto systemu lokalnego, może wywołać funkcję LogonUser, aby uwierzytelnić klienta na komputerze, na którym jest uruchomiony serwer. Funkcja LogonUser uruchamia nową sesję logowania i zwraca podstawowy token dostępu zawierający informacje o zabezpieczeniach klienta. Tego tokenu podstawowego można użyć w wywołaniu funkcji ImpersonateLoggedOnUser, aby personifikować klienta lub wywołać funkcję CreateProcessAsUser, aby utworzyć proces uruchamiany w kontekście zabezpieczeń klienta.

Zaletą uwierzytelniania klienta w ten sposób jest to, że serwer personifikujący uwierzytelnionego klienta lub proces utworzony w kontekście uwierzytelnionego klienta, może łączyć się z zasobami sieci zdalnej jako klient. Jeśli to uwierzytelnianie nie zostanie wykonane, serwer może nawiązać połączenie z zasobami sieciowymi tylko wtedy, gdy nabył nazwę konta klienta i hasło do przekazania do funkcji WNetAddConnection2.

Wadą uwierzytelniania klienta w ten sposób jest to, że serwer musi uzyskać poświadczenia klienta (nazwa domeny, nazwa użytkownika i hasło). Jeśli klient zdalny dostarcza te poświadczenia do serwera, obowiązkiem klienta i serwera jest zapewnienie, że poświadczenia są przesyłane w bezpieczny sposób.