TOKEN_GROUPS Struktur (winnt.h)

Artikel
09/27/2022
2 Minuten Lesedauer

Die TOKEN_GROUPS Struktur enthält Informationen zu den Gruppensicherheitsbezeichnern (SIDs) in einem Zugriffstoken.

Syntax

typedef struct _TOKEN_GROUPS {
  DWORD              GroupCount;
#if ...
  SID_AND_ATTRIBUTES *Groups[];
#else
  SID_AND_ATTRIBUTES Groups[ANYSIZE_ARRAY];
#endif
} TOKEN_GROUPS, *PTOKEN_GROUPS;

Member

GroupCount

Gibt die Anzahl der Gruppen im Zugriffstoken an.

Groups[*]

Gibt ein Array von SID_AND_ATTRIBUTES Strukturen an, die einen Satz von SIDs und entsprechenden Attributen enthalten.

Die Attribute-Elemente der SID_AND_ATTRIBUTES Strukturen können die folgenden Werte aufweisen.

Wert	Bedeutung
SE_GROUP_ENABLED 0x00000004L	Die SID ist für Zugriffsüberprüfungen aktiviert. Wenn das System eine Zugriffsüberprüfung durchführt, überprüft es, ob Zugriffsberechtigungs- und Zugriffsverweigerungszugriffssteuerungseinträge (Access-Control Entries , ACEs) für die SID gelten. Eine SID ohne dieses Attribut wird während einer Zugriffsüberprüfung ignoriert, es sei denn, das attribut SE_GROUP_USE_FOR_DENY_ONLY wird festgelegt.
SE_GROUP_ENABLED_BY_DEFAULT 0x00000002L	Die SID ist standardmäßig aktiviert.
SE_GROUP_INTEGRITY 0x00000020L	Die SID ist eine obligatorische Integritäts-SID.
SE_GROUP_INTEGRITY_ENABLED 0x00000040L	Die SID ist für obligatorische Integritätsprüfungen aktiviert.
SE_GROUP_LOGON_ID 0xC00000000L	Die SID ist eine Anmelde-SID, die die Anmeldesitzung identifiziert, die einem Zugriffstoken zugeordnet ist.
SE_GROUP_MANDATORY 0x00000001L	Die SID kann das SE_GROUP_ENABLED Attribut nicht durch einen Aufruf der AdjustTokenGroups-Funktion gelöscht haben. Sie können jedoch die Funktion CreateRestrictedToken verwenden, um eine obligatorische SID in eine nur verweigerte SID zu konvertieren.
SE_GROUP_OWNER 0x00000008L	Die SID identifiziert ein Gruppenkonto, für das der Benutzer des Tokens der Besitzer der Gruppe ist, oder die SID kann als Besitzer des Tokens oder der Objekte zugewiesen werden.
SE_GROUP_RESOURCE 0x20000000L	Die SID identifiziert eine domäne-lokale Gruppe.
SE_GROUP_USE_FOR_DENY_ONLY 0x00000010L	Die SID ist eine nur verweigerte SID in einem eingeschränkten Token. Wenn das System eine Zugriffsüberprüfung durchführt, sucht es nach zugriffsverweigerungsbasierten ACEs, die für die SID gelten; es ignoriert zugriffsgeschützte ACEs für die SID. Wenn dieses Attribut festgelegt ist, wird SE_GROUP_ENABLED nicht festgelegt, und die SID kann nicht erneut aktiviert werden.

Groups[ANYSIZE_ARRAY]

Gibt ein Array von SID_AND_ATTRIBUTES Strukturen an, die einen Satz von SIDs und entsprechenden Attributen enthalten.

Die Attribute-Elemente der SID_AND_ATTRIBUTES Strukturen können die folgenden Werte aufweisen.

Wert	Bedeutung
SE_GROUP_ENABLED 0x00000004L	Die SID ist für Zugriffsüberprüfungen aktiviert. Wenn das System eine Zugriffsüberprüfung durchführt, überprüft es, ob Zugriffsberechtigungs- und Zugriffsverweigerungszugriffssteuerungseinträge (Access-Control Entries , ACEs) für die SID gelten. Eine SID ohne dieses Attribut wird während einer Zugriffsüberprüfung ignoriert, es sei denn, das attribut SE_GROUP_USE_FOR_DENY_ONLY wird festgelegt.
SE_GROUP_ENABLED_BY_DEFAULT 0x00000002L	Die SID ist standardmäßig aktiviert.
SE_GROUP_INTEGRITY 0x00000020L	Die SID ist eine obligatorische Integritäts-SID.
SE_GROUP_INTEGRITY_ENABLED 0x00000040L	Die SID ist für obligatorische Integritätsprüfungen aktiviert.
SE_GROUP_LOGON_ID 0xC00000000L	Die SID ist eine Anmelde-SID, die die Anmeldesitzung identifiziert, die einem Zugriffstoken zugeordnet ist.
SE_GROUP_MANDATORY 0x00000001L	Die SID kann das SE_GROUP_ENABLED Attribut nicht durch einen Aufruf der AdjustTokenGroups-Funktion gelöscht haben. Sie können jedoch die Funktion CreateRestrictedToken verwenden, um eine obligatorische SID in eine nur verweigerte SID zu konvertieren.
SE_GROUP_OWNER 0x00000008L	Die SID identifiziert ein Gruppenkonto, für das der Benutzer des Tokens der Besitzer der Gruppe ist, oder die SID kann als Besitzer des Tokens oder der Objekte zugewiesen werden.
SE_GROUP_RESOURCE 0x20000000L	Die SID identifiziert eine domäne-lokale Gruppe.
SE_GROUP_USE_FOR_DENY_ONLY 0x00000010L	Die SID ist eine nur verweigerte SID in einem eingeschränkten Token. Wenn das System eine Zugriffsüberprüfung durchführt, sucht es nach zugriffsverweigerungsbasierten ACEs, die für die SID gelten; es ignoriert zugriffsgeschützte ACEs für die SID. Wenn dieses Attribut festgelegt ist, wird SE_GROUP_ENABLED nicht festgelegt, und die SID kann nicht erneut aktiviert werden.

Anforderungen


Unterstützte Mindestversion (Client)	Windows XP [Nur Desktop-Apps]
Unterstützte Mindestversion (Server)	Windows Server 2003 [Nur Desktop-Apps]
Header	winnt.h (enthalten Windows.h)