SID安全标识符

众所周知的安全标识符(SID) 标识通用组和通用用户。例如，有一些众所周知的 SID 来标识以下组和用户：

  • 每个人或世界，这是一个包含所有用户的组。

  • CREATOR_OWNER，用作可继承 ACE 中的占位符。继承 ACE 时，系统将 CREATOR_OWNER SID 替换为对象创建者的 SID。

  • 本地计算机上内置域的管理员组。·

有通用的众所周知的 SID，它们在使用此安全模型的所有安全系统上都有意义，包括Windows 以外的操作系统。此外，还有一些众所周知的 SID 仅在 Windows 系统上才有意义。

Windows API 为众所周知的标识符权限和相对标识符(RID) 值定义了一组常量。您可以使用这些常量来创建众所周知的 SID。以下示例结合了 SECURITY_WORLD_SID_AUTHORITY 和 SECURITY_WORLD_RID 常量来显示代表所有用户（每个人或世界）的特殊组的通用知名 SID：

S-1-1-0

此示例使用 SID 的字符串表示法，其中 S 将字符串标识为 SID，第一个 1 是 SID 的修订级别，其余两位数字是 SECURITY_WORLD_SID_AUTHORITY 和 SECURITY_WORLD_RID 常量。

您可以使用AllocateAndInitializeSid函数通过将标识符权限值与最多八个子权限值组合来构建 SID。例如，要确定登录用户是否是特定知名组的成员，请调用AllocateAndInitializeSid为知名组构建 SID，并使用EqualSid函数将该 SID 与用户所在组中的组 SID 进行比较。访问令牌。有关示例，请参阅在 C++ 中的访问令牌中搜索 SID。您必须调用FreeSid函数来释放由AllocateAndInitializeSid 分配的 SID 。

本节的其余部分包含可用于构建知名 SID 的已知 SID 表以及标识符权限和子权限常量表。

以下是一些通用的知名 SID。

通用知名 SID 字符串值 识别
Null SID S-1-0-0 一个没有成员的组。这通常在 SID 值未知时使用。
World S-1-1-0 包含所有用户的组。
Local S-1-2-0 登录到本地（物理）连接到系统的终端的用户。
Creator Owner ID S-1-3-0 要由创建新对象的用户的安全标识符替换的安全标识符。此 SID 用于可继承的 ACE。
Creator Group ID S-1-3-1 要由创建新对象的用户的主要组 SID 替换的安全标识符。在可继承的 ACE 中使用此 SID。

下表列出了预定义的标识符权限常量。前四个值与通用的众所周知的 SID 一起使用；最后一个值用于 Windows 众所周知的 SID。

标识符权限 价值 字符串值
SECURITY_NULL_SID_AUTHORITY 0 S-1-0
SECURITY_WORLD_SID_AUTHORITY 1 S-1-1
SECURITY_LOCAL_SID_AUTHORITY 2 S-1-2
SECURITY_CREATOR_SID_AUTHORITY 3 S-1-3
SECURITY_NT_AUTHORITY 5 S-1-5

以下RID值与通用的众所周知的 SID 一起使用。标识符权限列显示标识符权限的前缀，您可以将 RID 与其组合以创建通用的知名 SID。

相对标识符权限 价值 字符串值
SECURITY_NULL_RID 0 S-1-0
SECURITY_WORLD_RID 0 S-1-1
SECURITY_LOCAL_RID 0 S-1-2
SECURITY_LOCAL_LOGON_RID 1 S-1-2
SECURITY_CREATOR_OWNER_RID 0 S-1-3
SECURITY_CREATOR_GROUP_RID 1 S-1-3

SECURITY_NT_AUTHORITY (S-1-5) 预定义标识符权限生成的 SID 不是通用的，但仅在 Windows 安装上有意义。您可以将以下 RID 值与 SECURITY_NT_AUTHORITY 一起使用来创建众所周知的 SID。

持续的 字符串值 识别
SECURITY_DIALUP_RID S-1-5-1 使用拨号调制解调器登录终端的用户。这是一个组标识符。
SECURITY_NETWORK_RID S-1-5-2 通过网络登录的用户。这是通过网络登录时添加到进程令牌的组标识符。对应的登录类型是 LOGON32_LOGON_NETWORK。
SECURITY_BATCH_RID S-1-5-3 使用批处理队列工具登录的用户。这是在作为批处理作业记录时添加到进程令牌的组标识符。对应的登录类型是 LOGON32_LOGON_BATCH。
SECURITY_INTERACTIVE_RID S-1-5-4 登录进行交互操作的用户。这是在交互登录时添加到进程令牌的组标识符。对应的登录类型是 LOGON32_LOGON_INTERACTIVE。
SECURITY_LOGON_IDS_RID S-1-5-5- X - Y 登录会话。这用于确保只有给定登录会话中的进程才能访问该会话的窗口站对象。对于每个登录会话，这些 SID的X和Y值都不同。值 SECURITY_LOGON_IDS_RID_COUNT 是此标识符 (5- X - Y )中 RID 的数量。
SECURITY_SERVICE_RID S-1-5-6 授权作为服务登录的帐户。这是在将进程作为服务记录时添加到进程令牌的组标识符。对应的登录类型是 LOGON32_LOGON_SERVICE。
SECURITY_ANONYMOUS_LOGON_RID S-1-5-7 匿名登录或空会话登录。
SECURITY_PROXY_RID S-1-5-8 代理。
SECURITY_ENTERPRISE_CONTROLLERS_RID S-1-5-9 企业控制器。
SECURITY_PRINCIPAL_SELF_RID S-1-5-10 PRINCIPAL_SELF 安全标识符可用于用户或组对象的 ACL。在访问检查期间，系统将 SID 替换为对象的 SID。PRINCIPAL_SELF SID 可用于指定适用于继承 ACE 的用户或组对象的可继承 ACE。它是在模式的默认安全描述符中表示已创建对象的 SID 的唯一方法。
SECURITY_AUTHENTICATED_USER_RID S-1-5-11 经过身份验证的用户。
SECURITY_RESTRICTED_CODE_RID S-1-5-12 受限代码。
SECURITY_TERMINAL_SERVER_RID S-1-5-13 终端服务。自动添加到登录到终端服务器的用户的安全令牌。
SECURITY_LOCAL_SYSTEM_RID S-1-5-18 操作系统使用的特殊帐户。
SECURITY_NT_NON_UNIQUE S-1-5-21 小岛屿发展中国家并不是独一无二的。
SECURITY_BUILTIN_DOMAIN_RID S-1-5-32 内置系统域。
SECURITY_WRITE_RESTRICTED_CODE_RID S-1-5-33 编写受限代码。

以下 RID 与每个域相关。

RID 价值 识别
DOMAIN_ALIAS_RID_CERTSVC_DCOM_ACCESS_GROUP 0x0000023E 可以使用分布式组件对象模型 (DCOM) 连接到证书颁发机构的用户组。
DOMAIN_USER_RID_ADMIN 0x000001F4 域中的管理用户帐户。
DOMAIN_USER_RID_GUEST 0x000001F5 域中的来宾用户帐户。没有账号的用户可以自动登录这个账号。
DOMAIN_GROUP_RID_ADMINS 0x00000200 域管理员组。此帐户仅存在于运行服务器操作系统的系统上。
DOMAIN_GROUP_RID_USERS 0x00000201 包含域中所有用户帐户的组。所有用户都会自动添加到该组。
DOMAIN_GROUP_RID_GUESTS 0x00000202 域中的来宾组帐户。
DOMAIN_GROUP_RID_COMPUTERS 0x00000203 域计算机组。域中的所有计算机都是该组的成员。
DOMAIN_GROUP_RID_CONTROLLERS 0x00000204 域控制器组。域中的所有 DC 都是该组的成员。
DOMAIN_GROUP_RID_CERT_ADMINS 0x00000205 证书发布者组。运行证书服务的计算机是该组的成员。
DOMAIN_GROUP_RID_ENTERPRISE_READONLY_DOMAIN_CONTROLLERS 0x000001F2 企业只读域控制器组。
DOMAIN_GROUP_RID_SCHEMA_ADMINS 0x00000206 模式管理员组。该组的成员可以修改 Active Directory 架构。
DOMAIN_GROUP_RID_ENTERPRISE_ADMINS 0x00000207 企业管理员组。该组的成员可以完全访问 Active Directory 林中的所有域。企业管理员负责林级操作，例如添加或删除新域。
DOMAIN_GROUP_RID_POLICY_ADMINS 0x00000208 策略管理员组。
DOMAIN_GROUP_RID_READONLY_CONTROLLERS 0x00000209 只读域控制器组。
DOMAIN_GROUP_RID_CLONEABLE_CONTROLLERS 0x0000020A 可克隆域控制器组。
DOMAIN_GROUP_RID_CDC_RESERVED 0x0000020C 保留的 CDC 组。
DOMAIN_GROUP_RID_PROTECTED_USERS 0x0000020D 受保护的用户组。
DOMAIN_GROUP_RID_KEY_ADMINS 0x0000020E 关键管理员组。
DOMAIN_GROUP_RID_ENTERPRISE_KEY_ADMINS 0x0000020F 企业关键管理员组

以下 RID 用于指定强制完整性级别。

RID 价值 识别
SECURITY_MANDATORY_UNTRUSTED_RID 0x00000000 不信任。
SECURITY_MANDATORY_LOW_RID 0x00001000 完整性低。
SECURITY_MANDATORY_MEDIUM_RID 0x00002000 中等完整性。
SECURITY_MANDATORY_MEDIUM_PLUS_RID SECURITY_MANDATORY_MEDIUM_RID + 0x100 中高完整性。
SECURITY_MANDATORY_HIGH_RID 0X00003000 诚信度高。
SECURITY_MANDATORY_SYSTEM_RID 0x00004000 系统完整性。
SECURITY_MANDATORY_PROTECTED_PROCESS_RID 0x00005000 受保护的过程。

下表包含域相关 RID 的示例，您可以使用这些示例为本地组（别名）形成众所周知的 SID。有关本地和全局组的更多信息，请参阅本地组函数和组函数。

RID 价值 字符串值 识别
DOMAIN_ALIAS_RID_ADMINS 0x00000220 S-1-5-32-544 用于管理域的本地组。
DOMAIN_ALIAS_RID_USERS 0x00000221 S-1-5-32-545 代表域中所有用户的本地组。
DOMAIN_ALIAS_RID_GUESTS 0x00000222 S-1-5-32-546 代表域来宾的本地组。
DOMAIN_ALIAS_RID_POWER_USERS 0x00000223 S-1-5-32-547 一个本地组，用于代表希望将系统视为他们的个人计算机而不是多个用户的工作站的一个用户或一组用户。
DOMAIN_ALIAS_RID_ACCOUNT_OPS 0x00000224 S-1-5-32-548 仅存在于运行服务器操作系统的系统上的本地组。此本地组允许控制非管理员帐户。
DOMAIN_ALIAS_RID_SYSTEM_OPS 0x00000225 S-1-5-32-549 仅存在于运行服务器操作系统的系统上的本地组。该本地组执行系统管理功能，不包括安全功能。它建立网络共享、控制打印机、解锁工作站和执行其他操作。
DOMAIN_ALIAS_RID_PRINT_OPS 0x00000226 S-1-5-32-550 仅存在于运行服务器操作系统的系统上的本地组。此本地组控制打印机和打印队列。
DOMAIN_ALIAS_RID_BACKUP_OPS 0x00000227 S-1-5-32-551 用于控制文件备份和恢复权限分配的本地组。
DOMAIN_ALIAS_RID_REPLICATOR 0x00000228 S-1-5-32-552 负责将安全数据库从主域控制器复制到备份域控制器的本地组。这些帐户仅供系统使用。
DOMAIN_ALIAS_RID_RAS_SERVERS 0x00000229 S-1-5-32-553 代表 RAS 和 IAS 服务器的本地组。该组允许访问用户对象的各种属性。
DOMAIN_ALIAS_RID_PREW2KCOMPACCESS 0x0000022A S-1-5-32-554 仅存在于运行 Windows 2000 Server 的系统上的本地组。有关更多信息，请参阅允许匿名访问。
DOMAIN_ALIAS_RID_REMOTE_DESKTOP_USERS 0x0000022B S-1-5-32-555 代表所有远程桌面用户的本地组。
DOMAIN_ALIAS_RID_NETWORK_CONFIGURATION_OPS 0x0000022C S-1-5-32-556 代表网络配置的本地组。
DOMAIN_ALIAS_RID_INCOMING_FOREST_TRUST_BUILDERS 0x0000022D S-1-5-32-557 代表任何林信任用户的本地组。
DOMAIN_ALIAS_RID_MONITORING_USERS 0x0000022E S-1-5-32-558 代表所有被监控用户的本地组。
DOMAIN_ALIAS_RID_LOGGING_USERS 0x0000022F S-1-5-32-559 负责记录用户的本地组。
DOMAIN_ALIAS_RID_AUTHORIZATIONACCESS 0x00000230 S-1-5-32-560 代表所有授权访问的本地组。
DOMAIN_ALIAS_RID_TS_LICENSE_SERVERS 0x00000231 S-1-5-32-561 仅存在于运行允许终端服务和远程访问的服务器操作系统的系统上的本地组。
DOMAIN_ALIAS_RID_DCOM_USERS 0x00000232 S-1-5-32-562 代表可以使用分布式组件对象模型 (DCOM) 的用户的本地组。
DOMAIN_ALIAS_RID_IUSERS 0X00000238 S-1-5-32-568 代表 Internet 用户的本地组。
DOMAIN_ALIAS_RID_CRYPTO_OPERATORS 0x00000239 S-1-5-32-569 代表对密码操作员的访问的本地组。
DOMAIN_ALIAS_RID_CACHEABLE_PRINCIPALS_GROUP 0x0000023B S-1-5-32-571 代表可以缓存的主体的本地组。
DOMAIN_ALIAS_RID_NON_CACHEABLE_PRINCIPALS_GROUP 0x0000023C S-1-5-32-572 代表无法缓存的主体的本地组。
DOMAIN_ALIAS_RID_EVENT_LOG_READERS_GROUP 0x0000023D S-1-5-32-573 代表事件日志阅读器的本地组。
DOMAIN_ALIAS_RID_CERTSVC_DCOM_ACCESS_GROUP 0x0000023E S-1-5-32-574 可以使用分布式组件对象模型 (DCOM) 连接到证书颁发机构的本地用户组。
DOMAIN_ALIAS_RID_RDS_REMOTE_ACCESS_SERVERS 0x0000023F S-1-5-32-575 代表 RDS 远程访问服务器的本地组。
DOMAIN_ALIAS_RID_RDS_ENDPOINT_SERVERS 0x00000240 S-1-5-32-576 代表端点服务器的本地组。
DOMAIN_ALIAS_RID_RDS_MANAGEMENT_SERVERS 0x00000241 S-1-5-32-577 代表管理服务器的本地组。
DOMAIN_ALIAS_RID_HYPER_V_ADMINS 0x00000242 S-1-5-32-578 代表 hyper-v 管理员的本地组
DOMAIN_ALIAS_RID_ACCESS_CONTROL_ASSISTANCE_OPS 0x00000243 S-1-5-32-579 代表访问控制辅助 OPS 的本地组。
DOMAIN_ALIAS_RID_REMOTE_MANAGEMENT_USERS 0x00000244 S-1-5-32-580 代表远程管理用户的本地组。
DOMAIN_ALIAS_RID_DEFAULT_ACCOUNT 0x00000245 S-1-5-32-581 代表默认帐户的本地组。
DOMAIN_ALIAS_RID_STORAGE_REPLICA_ADMINS 0x00000246 S-1-5-32-582 代表存储副本管理员的本地组。
DOMAIN_ALIAS_RID_DEVICE_OWNERS 0x00000247 S-1-5-32-583 代表的本地组可以为设备所有者进行预期的设置。

该WELL_KNOWN_SID_TYPE枚举定义常用SID列表。此外，安全描述符定义语言(SDDL) 使用SID 字符串以字符串格式引用众所周知的 SID。

参考：

https://docs.microsoft.com/en-us/windows/win32/secauthz/well-known-sids