Bekannte SIDs

Bekannte Sicherheits-IDs (SIDs) identifizieren generische Gruppen und generische Benutzer*innen. Beispielsweise gibt es bekannte SIDs zur Identifizierung der folgenden Gruppen und Benutzer*innen:

• „Jeder“ oder „Welt“ bezeichnet eine Gruppe aus allen Benutzer*innen.
• CREATOR_OWNER wird als Platzhalter in einem vererbbaren ACE verwendet. Wenn der ACE vererbt wird, ersetzt das System die CREATOR_OWNER-SID durch die SID des Objekterstellers.
• Die Gruppe „Administratoren“ steht für die integrierte Domäne auf dem lokalen Computer.

Es gibt universelle bekannte SIDs, die auf allen sicheren Systemen sinnvoll sind, die dieses Sicherheitsmodell verwenden. Dazu zählen auch andere Betriebssysteme als Windows. Darüber hinaus gibt es bekannte SIDs, die nur auf Windows-Systemen relevant sind.

Die Windows-API definiert eine Reihe von Konstanten für bekannte Bezeichnerautoritäts- und RID-Werte (Relative Identifier). Sie können mithilfe dieser Konstanten bekannte SIDs erstellen. Das folgende Beispiel kombiniert die Konstanten SECURITY_WORLD_SID_AUTHORITY und SECURITY_WORLD_RID und zeigt die universelle bekannte SID für die spezielle Gruppe aller Benutzer*innen („Jeder“ oder „Welt“):

S-1-1-0

In diesem Beispiel wird die Zeichenfolgennotation für SIDs verwendet: S identifiziert die Zeichenfolge als SID, die erste 1 ist die Revisionsebene der SID und die übrigen beiden Ziffern sind die Konstanten SECURITY_WORLD_SID_AUTHORITY und SECURITY_WORLD_RID.

Sie können mit der AllocateAndInitializeSid-Funktion eine SID erstellen, indem Sie einen Bezeichnerautoritätswert mit bis zu acht Unterautoritätswerten kombinieren. Angenommen, Sie möchten ermitteln, ob der angemeldete Benutzer oder die Benutzerin Mitglied einer bestimmten bekannten Gruppe ist. Rufen Sie AllocateAndInitializeSid auf, um eine SID für die bekannte Gruppe zu erstellen. Vergleichen Sie dann diese SID mithilfe der EqualSid-Funktion mit den Gruppen-SIDs im Zugriffstoken des Benutzers. Ein Beispiel finden Sie unter Suchen nach einer SID in einem Zugriffstoken in C++. Sie müssen die FreeSid-Funktion aufrufen, um eine von AllocateAndInitializeSid zugewiesene SID freizugeben.

Der Rest dieses Abschnitts enthält Tabellen mit bekannten SIDs und Tabellen mit Bezeichnerautoritäts- und Unterautoritätskonstanten, mit denen Sie bekannte SIDs erstellen können.

Im Folgenden sind einige universelle bekannte SIDs aufgeführt.

Universelle bekannte SID	Identifiziert
NULL-SID Zeichenfolgenwert: S-1-0-0	Eine Gruppe ohne Mitglieder. Sie wird häufig verwendet, wenn kein SID-Wert bekannt ist.
Welt Zeichenfolgenwert: S-1-1-0	Eine Gruppe mit allen Benutzer*innen.
Lokal Zeichenfolgenwert: S-1-2-0	Benutzer*innen, die sich an Terminals anmelden, die lokal (physisch) mit dem System verbunden sind.
Ersteller-/Besitzer-ID Zeichenfolgenwert: S-1-3-0	Ein Sicherheitsbezeichner, der durch den Sicherheitsbezeichner des Benutzers oder der Benutzerin ersetzt wird, der bzw. die ein neues Objekt erstellt hat. Diese SID wird in vererbbaren ACEs verwendet.
Erstellergruppen-ID Zeichenfolgenwert: S-1-3-1	Ein Sicherheitsbezeichner, der durch die SID der primären Gruppe des Benutzers oder der Benutzerin ersetzt wird, der bzw. die ein neues Objekt erstellt hat. Verwenden Sie diese SID in vererbbaren ACEs.

In der folgenden Tabelle sind die vordefinierten Bezeichnerautoritätskonstanten aufgeführt. Die ersten vier Werte werden mit universellen bekannten SIDs verwendet; der letzte Wert wird mit bekannten Windows-SIDs verwendet.

Bezeichnerautorität	Wert	Zeichenfolgenwert
SECURITY_NULL_SID_AUTHORITY	0	S-1-0
SECURITY_WORLD_SID_AUTHORITY	1	S-1-1
SECURITY_LOCAL_SID_AUTHORITY	2	S-1-2
SECURITY_CREATOR_SID_AUTHORITY	3	S-1-3
SECURITY_NT_AUTHORITY	5	S-1-5

Die folgenden RID-Werte werden mit universellen bekannten SIDs verwendet. In der Spalte Bezeichnerautorität ist das Präfix der Bezeichnerautorität angegeben, mit der Sie die RID kombinieren können, um eine universelle bekannte SID zu erstellen.

Autorität des relativen Bezeichners	Wert	Zeichenfolgenwert
SECURITY_NULL_RID	0	S-1-0
SECURITY_WORLD_RID	0	S-1-1
SECURITY_LOCAL_RID	0	S-1-2
SECURITY_LOCAL_LOGON_RID	1	S-1-2
SECURITY_CREATOR_OWNER_RID	0	S-1-3
SECURITY_CREATOR_GROUP_RID	1	S-1-3

Die von der vordefinierten Bezeichnerautorität SECURITY_NT_AUTHORITY (S-1-5) erzeugten SIDs sind nicht universell, sondern nur bei Windows-Installationen aussagekräftig. Sie können die folgenden RID-Werte mit SECURITY_NT_AUTHORITY verwenden, um bekannte SIDs zu erstellen.

Konstante	Identifiziert
SECURITY_DIALUP_RID Zeichenfolgenwert: S-1-5-1	Benutzer*innen, die sich mit einem DFÜ-Modem an Terminals anmelden. Dies ist ein Gruppenbezeichner.
SECURITY_NETWORK_RID Zeichenfolgenwert: S-1-5-2	Benutzer*innen, die sich über ein Netzwerk anmelden. Dies ist ein Gruppenbezeichner, der dem Token eines Prozesses hinzugefügt wird, wenn er in einem Netzwerk angemeldet wurde. Der entsprechende Anmeldetyp lautet LOGON32_LOGON_NETWORK.
SECURITY_BATCH_RID Zeichenfolgenwert: S-1-5-3	Benutzer*innen, die sich über eine Batchwarteschlange anmelden. Dies ist ein Gruppenbezeichner, die dem Token eines Prozesses hinzugefügt wird, wenn er als Batchauftrag protokolliert wurde. Der entsprechende Anmeldetyp ist LOGON32_LOGON_BATCH.
SECURITY_INTERACTIVE_RID Zeichenfolgenwert: S-1-5-4	Benutzer*innen, die sich für einen interaktiven Vorgang anmelden. Dies ist ein Gruppenbezeichner, der dem Token eines Prozesses hinzugefügt wird, wenn er interaktiv angemeldet wurde. Der entsprechende Anmeldetyp lautet LOGON32_LOGON_INTERACTIVE.
SECURITY_LOGON_IDS_RID Zeichenfolgenwert: S-1-5-5-*X*-*Y*	Eine Anmeldesitzung. Hiermit wird sichergestellt, dass nur Prozesse in einer bestimmten Anmeldesitzung Zugriff auf die Fensterstationsobjekte für diese Sitzung erhalten können. Die X- und Y-Werte für diese SIDs unterscheiden sich für jede Anmeldesitzung. Der Wert SECURITY_LOGON_IDS_RID_COUNT entspricht der Anzahl der RIDs in diesem Bezeichner (5-X-Y).
SECURITY_SERVICE_RID Zeichenfolgenwert: S-1-5-6	Konten, die zum Anmelden als Dienst autorisiert sind. Dies ist ein Gruppenbezeichner, der dem Token eines Prozesses hinzugefügt wird, wenn er als Dienst angemeldet wurde. Der entsprechende Anmeldetyp lautet LOGON32_LOGON_SERVICE.
SECURITY_ANONYMOUS_LOGON_RID Zeichenfolgenwert: S-1-5-7	Anonyme Anmeldung oder NULL-Sitzungsanmeldung.
SECURITY_PROXY_RID Zeichenfolgenwert: S-1-5-8	Proxy.
SECURITY_ENTERPRISE_CONTROLLERS_RID Zeichenfolgenwert: S-1-5-9	Unternehmenscontroller.
SECURITY_PRINCIPAL_SELF_RID Zeichenfolgenwert: S-1-5-10	Die Sicherheits-ID PRINCIPAL_SELF kann in der ACL eines Benutzer- oder Gruppenobjekts verwendet werden. Bei einer Zugriffsüberprüfung ersetzt das System die SID durch die SID des Objekts. Mit der PRINCIPAL_SELF-SID kann ein vererbbarer ACE angegeben werden, der für das Benutzer- oder Gruppenobjekt gilt, das den ACE erbt. Die SID eines erstellten Objekts kann nur auf diese Weise in der Standardsicherheitsbeschreibung des Schemas dargestellt werden.
SECURITY_AUTHENTICATED_USER_RID Zeichenfolgenwert: S-1-5-11	Die authentifizierten Benutzer*innen.
SECURITY_RESTRICTED_CODE_RID Zeichenfolgenwert: S-1-5-12	Eingeschränkter Code.
SECURITY_TERMINAL_SERVER_RID Zeichenfolgenwert: S-1-5-13	Terminaldienste. Wird automatisch dem Sicherheitstoken von Benutzer*innen hinzugefügt, die sich bei einem Terminalserver anmelden.
SECURITY_LOCAL_SYSTEM_RID Zeichenfolgenwert: S-1-5-18	Ein spezielles Konto, das vom Betriebssystem verwendet wird.
SECURITY_NT_NON_UNIQUE Zeichenfolgenwert: S-1-5-21	SIDS sind nicht eindeutig.
SECURITY_BUILTIN_DOMAIN_RID Zeichenfolgenwert: S-1-5-32	Die integrierte Systemdomäne.
SECURITY_WRITE_RESTRICTED_CODE_RID Zeichenfolgenwert: S-1-5-33	Schreibgeschützter Code.

Die folgenden RIDs beziehen sich auf die einzelnen Domänen.

RID	Identifiziert
DOMAIN_ALIAS_RID_CERTSVC_DCOM_ACCESS_GROUP Wert: 0x0000023E	Die Gruppe von Benutzer*innen, die mithilfe von DCOM (Distributed Component Object Model) eine Verbindung mit Zertifizierungsstellen herstellen können.
DOMAIN_USER_RID_ADMIN Wert: 0x000001F4	Das Administratorbenutzerkonto in einer Domäne.
DOMAIN_USER_RID_GUEST Wert: 0x000001F5	Das Gastbenutzerkonto in einer Domäne. Benutzer*innen, die kein Konto haben, können sich automatisch bei diesem Konto anmelden.
DOMAIN_GROUP_RID_ADMINS Wert: 0x00000200	Die Gruppe der Domänenadministrator*innen. Dieses Konto ist nur auf Systemen vorhanden, auf denen Serverbetriebssysteme ausgeführt werden.
DOMAIN_GROUP_RID_USERS Wert: 0x00000201	Eine Gruppe, die alle Benutzerkonten in einer Domäne enthält. Alle Benutzer*innen werden dieser Gruppe automatisch hinzugefügt.
DOMAIN_GROUP_RID_GUESTS Wert: 0x00000202	Das Gastgruppenkonto in einer Domäne.
DOMAIN_GROUP_RID_COMPUTERS Wert: 0x00000203	Die Gruppe der Domänencomputer. Alle Computer in der Domäne sind Mitglieder dieser Gruppe.
DOMAIN_GROUP_RID_CONTROLLERS Wert: 0x00000204	Die Gruppe der Domänencontroller. Alle Domänencontroller in der Domäne sind Mitglieder dieser Gruppe.
DOMAIN_GROUP_RID_CERT_ADMINS Wert: 0x00000205	Die Gruppe der Zertifikatherausgeber. Computer, auf denen Zertifikatdienste ausgeführt werden, sind Mitglieder dieser Gruppe.
DOMAIN_GROUP_RID_ENTERPRISE_READONLY_DOMAIN_CONTROLLERS Wert: 0x000001F2	Die Gruppe der schreibgeschützten Domänencontroller des Unternehmens.
DOMAIN_GROUP_RID_SCHEMA_ADMINS Wert: 0x00000206	Die Gruppe der Schemaadministrator*innen. Mitglieder dieser Gruppe können das Active Directory-Schema ändern.
DOMAIN_GROUP_RID_ENTERPRISE_ADMINS Wert: 0x00000207	Die Gruppe der Unternehmensadministrator*innen. Mitglieder dieser Gruppe haben Vollzugriff auf alle Domänen in der Active Directory-Gesamtstruktur. Unternehmensadministrator*innen sind für Vorgänge auf Gesamtstrukturebene verantwortlich, z. B. das Hinzufügen oder Entfernen neuer Domänen.
DOMAIN_GROUP_RID_POLICY_ADMINS Wert: 0x00000208	Die Gruppe der Richtlinienadministrator*innen.
DOMAIN_GROUP_RID_READONLY_CONTROLLERS Wert: 0x00000209	Die Gruppe der schreibgeschützten Domänencontroller.
DOMAIN_GROUP_RID_CLONEABLE_CONTROLLERS Wert: 0x0000020A	Die Gruppe der klonbaren Domänencontroller.
DOMAIN_GROUP_RID_CDC_RESERVED Wert: 0x0000020C	Die reservierte CDC-Gruppe.
DOMAIN_GROUP_RID_PROTECTED_USERS Wert: 0x0000020D	Die Gruppe der geschützten Benutzer*innen.
DOMAIN_GROUP_RID_KEY_ADMINS Wert: 0x0000020E	Die Gruppe der Hauptadministrator*innen.
DOMAIN_GROUP_RID_ENTERPRISE_KEY_ADMINS Wert: 0x0000020F	Due Gruppe der Hauptadministrator*innen des Unternehmens.

Mit den folgenden RIDs wird die obligatorische Integritätsebene angegeben.

RID	Wert	Identifiziert
SECURITY_MANDATORY_UNTRUSTED_RID	0x00000000	Nicht vertrauenswürdig.
SECURITY_MANDATORY_LOW_RID	0x00001000	Niedrige Integrität.
SECURITY_MANDATORY_MEDIUM_RID	0x00002000	Mittlere Integrität.
SECURITY_MANDATORY_MEDIUM_PLUS_RID	SECURITY_MANDATORY_MEDIUM_RID + 0x100	Mittelhohe Integrität.
SECURITY_MANDATORY_HIGH_RID	0X00003000	Hohe Integrität.
SECURITY_MANDATORY_SYSTEM_RID	0x00004000	Systemintegrität.
SECURITY_MANDATORY_PROTECTED_PROCESS_RID	0x00005000	Geschützter Prozess.

Die folgende Tabelle enthält Beispiele für domänenbezogene RIDs, mit denen Sie bekannte SIDs für lokale Gruppen (Aliasnamen) bilden können. Weitere Informationen zu lokalen und globalen Gruppen finden Sie unter Lokale Gruppenfunktionen und Gruppenfunktionen.

RID	Identifiziert
DOMAIN_ALIAS_RID_ADMINS Wert: 0x00000220 Zeichenfolgenwert: S-1-5-32-544	Eine lokale Gruppe, die für die Verwaltung der Domäne verwendet wird.
DOMAIN_ALIAS_RID_USERS Wert: 0x00000221 Zeichenfolgenwert: S-1-5-32-545	Eine lokale Gruppe, die alle Benutzer*innen in der Domäne darstellt.
DOMAIN_ALIAS_RID_GUESTS Wert: 0x00000222 Zeichenfolgenwert: S-1-5-32-546	Eine lokale Gruppe, die Gäste der Domäne darstellt.
DOMAIN_ALIAS_RID_POWER_USERS Wert: 0x00000223 Zeichenfolgenwert: S-1-5-32-547	Eine lokale Gruppe, mit der einzelne Benutzer*innen oder eine Gruppe von Benutzer*innen dargestellt werden, die ein System wie einen eigenen PC und nicht wie eine Arbeitsstation für mehrere Benutzer*innen verwenden möchten.
DOMAIN_ALIAS_RID_ACCOUNT_OPS Wert: 0x00000224 Zeichenfolgenwert: S-1-5-32-548	Eine lokale Gruppe, die nur auf Systemen mit Serverbetriebssystemen vorhanden ist. Diese lokale Gruppe ermöglicht das Steuern von Konten, die über keine Administratorrechte verfügen.
DOMAIN_ALIAS_RID_SYSTEM_OPS Wert: 0x00000225 Zeichenfolgenwert: S-1-5-32-549	Eine lokale Gruppe, die nur auf Systemen mit Serverbetriebssystemen vorhanden ist. Diese lokale Gruppe führt Systemverwaltungsfunktionen aus, außer Sicherheitsfunktionen. Sie richtet Netzwerkfreigaben ein, steuert Drucker, entsperrt Arbeitsstationen und führt weitere Vorgänge aus.
DOMAIN_ALIAS_RID_PRINT_OPS Wert: 0x00000226 Zeichenfolgenwert: S-1-5-32-550	Eine lokale Gruppe, die nur auf Systemen mit Serverbetriebssystemen vorhanden ist. Diese lokale Gruppe steuert Drucker und Druckwarteschlangen.
DOMAIN_ALIAS_RID_BACKUP_OPS Wert: 0x00000227 Zeichenfolgenwert: S-1-5-32-551	Eine lokale Gruppe, mit der die Zuweisung von Dateisicherungs- und Wiederherstellungsberechtigungen gesteuert wird.
DOMAIN_ALIAS_RID_REPLICATOR Wert: 0x00000228 Zeichenfolgenwert: S-1-5-32-552	Eine lokale Gruppe, die für das Kopieren von Sicherheitsdatenbanken vom primären Domänencontroller auf die Sicherungsdomänencontroller verantwortlich ist. Diese Konten werden nur vom System verwendet.
DOMAIN_ALIAS_RID_RAS_SERVERS Wert: 0x00000229 Zeichenfolgenwert: S-1-5-32-553	Eine lokale Gruppe, die RAS- und IAS-Server darstellt. Diese Gruppe ermöglicht den Zugriff auf verschiedene Attribute von Benutzerobjekten.
DOMAIN_ALIAS_RID_PREW2KCOMPACCESS Wert: 0x0000022A Zeichenfolgenwert: S-1-5-32-554	Eine lokale Gruppe, die nur auf Systemen mit Windows 2000 Server vorhanden ist. Weitere Informationen finden Sie unter Zulassen des anonymen Zugriffs.
DOMAIN_ALIAS_RID_REMOTE_DESKTOP_USERS Wert: 0x0000022B Zeichenfolgenwert: S-1-5-32-555	Eine lokale Gruppe, die alle Remotedesktopbenutzer*innen darstellt.
DOMAIN_ALIAS_RID_NETWORK_CONFIGURATION_OPS Wert: 0x0000022C Zeichenfolgenwert: S-1-5-32-556	Eine lokale Gruppe, die die Netzwerkkonfiguration darstellt.
DOMAIN_ALIAS_RID_INCOMING_FOREST_TRUST_BUILDERS Wert: 0x0000022D Zeichenfolgenwert: S-1-5-32-557	Eine lokale Gruppe, die alle Benutzer*innen der Gesamtstruktur-Vertrauensstellung darstellt.
DOMAIN_ALIAS_RID_MONITORING_USERS Wert: 0x0000022E Zeichenfolgenwert: S-1-5-32-558	Eine lokale Gruppe, die alle überwachten Benutzer*innen darstellt.
DOMAIN_ALIAS_RID_LOGGING_USERS Wert: 0x0000022F Zeichenfolgenwert: S-1-5-32-559	Eine lokale Gruppe, die für die Protokollierung von Benutzer*innen zuständig ist.
DOMAIN_ALIAS_RID_AUTHORIZATIONACCESS Wert: 0x00000230 Zeichenfolgenwert: S-1-5-32-560	Eine lokale Gruppe, die den gesamten autorisierten Zugriff darstellt.
DOMAIN_ALIAS_RID_TS_LICENSE_SERVERS Wert: 0x00000231 Zeichenfolgenwert: S-1-5-32-561	Eine lokale Gruppe, die nur auf Systemen mit Serverbetriebssystemen vorhanden ist, die Terminaldienste und Remotezugriff ermöglichen.
DOMAIN_ALIAS_RID_DCOM_USERS Wert: 0x00000232 Zeichenfolgenwert: S-1-5-32-562	Eine lokale Gruppe, die Benutzer*innen darstellt, die das DCOM (Distributed Component Object Model) verwenden können.
DOMAIN_ALIAS_RID_IUSERS Wert: 0X00000238 Zeichenfolgenwert: S-1-5-32-568	Eine lokale Gruppe, die Internetbenutzer*innen darstellt.
DOMAIN_ALIAS_RID_CRYPTO_OPERATORS Wert: 0x00000239 Zeichenfolgenwert: S-1-5-32-569	Eine lokale Gruppe, die den Zugriff auf Kryptografieoperatoren darstellt.
DOMAIN_ALIAS_RID_CACHEABLE_PRINCIPALS_GROUP Wert: 0x0000023B Zeichenfolgenwert: S-1-5-32-571	Eine lokale Gruppe, die Prinzipale darstellt, die zwischengespeichert werden können.
DOMAIN_ALIAS_RID_NON_CACHEABLE_PRINCIPALS_GROUP Wert: 0x0000023C Zeichenfolgenwert: S-1-5-32-572	Eine lokale Gruppe, die Prinzipale darstellt, die nicht zwischengespeichert werden können.
DOMAIN_ALIAS_RID_EVENT_LOG_READERS_GROUP Wert: 0x0000023D Zeichenfolgenwert: S-1-5-32-573	Eine lokale Gruppe, die Ereignisprotokollleser darstellt.
DOMAIN_ALIAS_RID_CERTSVC_DCOM_ACCESS_GROUP Wert: 0x0000023E Zeichenfolgenwert: S-1-5-32-574	Die lokale Gruppe von Benutzer*innen, die mithilfe von DCOM (Distributed Component Object Model) eine Verbindung mit Zertifizierungsstellen herstellen können.
DOMAIN_ALIAS_RID_RDS_REMOTE_ACCESS_SERVERS Wert: 0x0000023F Zeichenfolgenwert: S-1-5-32-575	Eine lokale Gruppe, die RDS-Remotezugriffsserver darstellt.
DOMAIN_ALIAS_RID_RDS_ENDPOINT_SERVERS Wert: 0x00000240 Zeichenfolgenwert: S-1-5-32-576	Eine lokale Gruppe, die Endpunktserver darstellt.
DOMAIN_ALIAS_RID_RDS_MANAGEMENT_SERVERS Wert: 0x00000241 Zeichenfolgenwert: S-1-5-32-577	Eine lokale Gruppe, die Verwaltungsserver darstellt.
DOMAIN_ALIAS_RID_HYPER_V_ADMINS Wert: 0x00000242 Zeichenfolgenwert: S-1-5-32-578	Eine lokale Gruppe, die Hyper-V-Administrator*innen darstellt.
DOMAIN_ALIAS_RID_ACCESS_CONTROL_ASSISTANCE_OPS Wert: 0x00000243 Zeichenfolgenwert: S-1-5-32-579	Eine lokale Gruppe, die Zugriffssteuerungs-Unterstützungsoperatoren darstellt.
DOMAIN_ALIAS_RID_REMOTE_MANAGEMENT_USERS Wert: 0x00000244 Zeichenfolgenwert: S-1-5-32-580	Eine lokale Gruppe, die Remoteverwaltungsbenutzer*innen darstellt.
DOMAIN_ALIAS_RID_DEFAULT_ACCOUNT Wert: 0x00000245 Zeichenfolgenwert: S-1-5-32-581	Eine lokale Gruppe, die das Standardkonto darstellt.
DOMAIN_ALIAS_RID_STORAGE_REPLICA_ADMINS Wert: 0x00000246 Zeichenfolgenwert: S-1-5-32-582	Eine lokale Gruppe, die Speicherreplikatsadministrator*innen darstellt.
DOMAIN_ALIAS_RID_DEVICE_OWNERS Wert: 0x00000247 Zeichenfolgenwert: S-1-5-32-583	Eine lokale Gruppe, die von Gerätebesitzer*innen vornehmbare Einstellungen darstellt.

Die WELL_KNOWN_SID_TYPE-Enumeration definiert die Liste der häufig verwendeten SIDs. Darüber hinaus verwendet die Security Descriptor Definition Language (SDDL) -Zeichenfolgen, um auf bekannte SIDs in einem Zeichenfolgenformat zu verweisen.