Cambio de privilegios en un token

Puede cambiar los privilegios en un token principal o de suplantación de dos maneras:

• Habilite o deshabilite los privilegios mediante la función AdjustTokenPrivileges .
• Restrinja o quite privilegios mediante la función CreateRestrictedToken .

AdjustTokenPrivileges no puede agregar ni quitar privilegios del token. Solo puede habilitar los privilegios existentes que están deshabilitados actualmente o deshabilitar los privilegios existentes que están habilitados actualmente. Para obtener ejemplos, consulte Habilitación y deshabilitación de privilegios en C++.

Para asignar privilegios a una cuenta de usuario, consulte Asignación de privilegios a una cuenta.

CreateRestrictedToken tiene funcionalidades más amplias de la siguiente manera:

• Quitar un privilegio. Tenga en cuenta que quitar un privilegio no es lo mismo que deshabilitar uno. Después de quitar un privilegio de un token, no se puede devolver.
• Adjuntar el atributo de solo denegación a los SID del token. Esto tiene el efecto de impedir que grupos o cuentas específicos, por ejemplo, denegar el acceso al grupo Todos elimine el acceso a un archivo determinado. Para obtener más información sobre cómo restringir los SID, vea Atributos de SID en un token de acceso.
• Especificar una lista de restricciones de SID en el token. Para obtener información sobre cómo restringir los SID, consulte Tokens restringidos.