Partager via

Groupes d’identité spéciale

Découvrez les groupes d’identité spéciaux Windows Server (parfois appelés groupes de sécurité) utilisés pour le contrôle d’accès Windows.

Qu’est-ce qu’un groupe d’identité spéciale ?

Les groupes d’identité spéciale sont similaires aux groupes de sécurité Active Directory listés dans les conteneurs Utilisateurs Active Directory et BuiltIn. Les groupes d’identité spéciale peuvent constituer un moyen efficace d’autoriser l’accès aux ressources de votre réseau. En utilisant des groupes d’identité spéciale, vous pouvez :

  • Attribuer des droits de l’utilisateur à des groupes de sécurité dans AD DS.

  • Attribuer des autorisations à des groupes de sécurité pour accéder aux ressources.

Comment fonctionnent les groupes d’identité spéciale dans Windows Server

Si un serveur exécute l’une des versions du système d’exploitation Windows Server indiqué dans S’applique au début de cet article, le serveur a plusieurs groupes d’identité spéciaux. Les groupes d’identité spéciale n’ont pas d’appartenances spécifiques que vous pouvez modifier, mais ils peuvent représenter différents utilisateurs à différents moments, en fonction des circonstances.

Même si vous pouvez attribuer des droits et des autorisations sur des ressources spécifiques à un groupe d’identité spéciale, vous ne pouvez pas voir ou modifier l’appartenance d’un groupe d’identité spéciale. Les étendues de groupe ne s’appliquent pas aux groupes d’identité spéciale. Les utilisateurs sont automatiquement attribués à des groupes d’identité spéciale quand ils se connectent ou accèdent à une ressource spécifique.

Pour plus d’informations sur les groupes de sécurité et les étendues de groupe Active Directory, consultez Groupes de sécurité Active Directory.

Groupes d’identité spéciale par défaut

Les sections suivantes décrivent les groupes d’identité spéciale par défaut dans Windows Server.

Ouverture de session anonyme

Tout utilisateur qui accède au système avec une ouverture de session anonyme a l’identité Ouverture de session anonyme. Cette identité donne un accès anonyme aux ressources, par exemple, à une page web publiée sur un serveur d’entreprise. Le groupe Ouverture de session anonyme n’est pas membre du groupe Tout le monde par défaut.

Attribute Value
SID/RID connu S-1-5-7
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Propriété de clé attestée

Identificateur de sécurité (SID) qui signifie que l’objet d’approbation de clé a la propriété attestation.

Attribute Value
SID/RID connu S-1-18-6
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Utilisateurs authentifiés

Tout utilisateur qui accède au système avec un processus de connexion a l’identité Utilisateurs authentifiés. Cette identité donne accès aux ressources partagées au sein du domaine, comme les fichiers d’un dossier partagé qui doivent être accessibles à tous les employés de l’organisation. L’appartenance est contrôlée par le système d’exploitation.

Attribute Value
SID/RID connu S-1-5-11
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut Accéder à cet ordinateur à partir du réseau : SeNetworkLogonRight

Ajouter des stations de travail au domaine : SeMachineAccountPrivilege

Ignorer la vérification transversale (SeChangeNotifyPrivilege)

Identité déclarée par l’autorité d’authentification

SID qui signifie que l’identité du client est déclarée par une autorité d’authentification à partir de la preuve de possession des informations d’identification du client.

Attribute Value
SID/RID connu S-1-18-1
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Batch

Tout utilisateur ou processus qui accède au système sous forme de traitement par lots ou par la file d’attente de lots a l’identité Traitement par lots. Cette identité autorise les traitements par lots à exécuter des tâches planifiées, comme un travail de nettoyage nocturne qui supprime les fichiers temporaires. L’appartenance est contrôlée par le système d’exploitation.

Attribute Value
SID/RID connu S-1-5-3
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Ouverture de session de la console

Groupe qui comprend les utilisateurs connectés à la console physique. Ce SID peut être utilisé pour implémenter des stratégies de sécurité qui accordent des droits différents selon que l’utilisateur a ou non obtenu un accès physique à la console.

Attribute Value
SID/RID connu S-1-2-1
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Groupe Creator

La personne qui a créé un fichier ou un répertoire est membre de ce groupe d’identité spéciale. Le système d’exploitation Windows Server utilise cette identité pour accorder automatiquement des autorisations d’accès au créateur d’un fichier ou d’un répertoire.

Un SID d’espace réservé est créé dans une entrée de contrôle d’accès (ACE) pouvant être héritée. Quand l’ACE est héritée, le système remplace ce SID par celui du groupe principal du propriétaire actuel de l’objet. Le groupe principal est utilisé uniquement par le sous-système POSIX.

Attribute Value
SID/RID connu S-1-3-1
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Propriétaire du créateur

La personne qui a créé un fichier ou un répertoire est membre de ce groupe d’identité spéciale. Le système d’exploitation Windows Server utilise cette identité pour accorder automatiquement des autorisations d’accès au créateur d’un fichier ou d’un répertoire. Un SID d’espace réservé est créé dans une ACE pouvant être héritée. Quand l’ACE est héritée, le système remplace ce SID par celui du propriétaire actuel de l’objet.

Attribute Value
SID/RID connu S-1-3-0
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Dialup

Tout utilisateur qui accède au système avec une connexion d’accès à distance a l’identité Accès à distance. Cette identité distingue les utilisateurs d’accès à distance des autres types d’utilisateurs authentifiés.

Attribute Value
SID/RID connu S-1-5-1
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Authentification Digest

Attribute Value
SID/RID connu S-1-5-64-21
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Contrôleurs de domaine d’entreprise

Ce groupe comprend tous les contrôleurs de domaine d’une forêt Active Directory. Les contrôleurs de domaine avec des rôles et des responsabilités à l’échelle de l’entreprise ont l’identité Contrôleurs de domaine d’entreprise. Cette identité permet aux contrôleurs de domaine d’effectuer certaines tâches dans l’entreprise en utilisant les approbations transitives. L’appartenance est contrôlée par le système d’exploitation.

Attribute Value
SID/RID connu S-1-5-9
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut Accéder à cet ordinateur à partir du réseau : SeNetworkLogonRight

Autoriser l’ouverture de session localement : SeInteractiveLogonRight

Contrôleurs de domaine d’entreprise en lecture seule

Ce groupe inclut tous les contrôleurs de domaine en lecture seule (RODC) dans une forêt Active Directory. Un contrôleur de domaine d’entreprise peut répliquer un sous-ensemble plus important de la base de données Active Directory, y compris le catalogue global et les partitions de domaine en lecture seule pour tous les domaines de la forêt. L’appartenance est contrôlée par le système d’exploitation.

Attribute Value
SID/RID connu S-1-5-21-RootDomain-498<>
Classe d’objets Group
Emplacement par défaut dans Active Directory CN=Users, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Everyone

Tous les utilisateurs interactifs, réseau, avec accès à distance et authentifiés sont membres du groupe Tout le monde. Ce groupe d’identité spéciale donne un accès large aux ressources système. Chaque fois qu’un utilisateur se connecte au réseau, il est ajouté automatiquement au groupe Tout le monde. L’appartenance est contrôlée par le système d’exploitation.

Sur les ordinateurs qui exécutent Windows 2000 et versions antérieures, le groupe Tout le monde comprend le groupe Ouverture de session anonyme comme membre par défaut. À compter de Windows Server 2003, le groupe Tout le monde contient uniquement Utilisateurs authentifiés et Invités. Le groupe ne comprend plus Ouverture de session anonyme par défaut. Pour modifier le paramètre de groupe Tout le monde de façon à inclure le groupe d’ouverture de session anonyme, dans l’Éditeur du Registre, accédez à la clé Computer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa et définissez la valeur du DWORD tout le mondeincludesanonyme sur 1.

Attribute Value
SID/RID connu S-1-1-0
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut Accéder à cet ordinateur à partir du réseau : SeNetworkLogonRight

Ignorer la vérification transversale (SeChangeNotifyPrivilege)

Nouvelle identité de clé publique

SID qui signifie que l’identité du client est déclarée par une autorité d’authentification à partir de la preuve de possession des informations d’identification de clé publique du client.

Attribute Value
SID/RID connu S-1-18-3
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Interactive

Tout utilisateur connecté au système local a l’identité Interactif. Cette identité permet uniquement aux utilisateurs locaux d’accéder à une ressource. Chaque fois qu’un utilisateur accède à une ressource donnée sur l’ordinateur auquel il est connecté, il est ajouté automatiquement au groupe Interactif. L’appartenance est contrôlée par le système d’exploitation.

Attribute Value
SID/RID connu S-1-5-4
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

IUSR

Internet Information Services (IIS) utilise ce compte par défaut quand l’authentification anonyme est activée.

Attribute Value
SID/RID connu S-1-5-17
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Approbation de clé

SID qui signifie que l’identité du client est basée sur la preuve de possession des informations d’identification de clé publique en utilisant l’objet d’approbation de clé.

Attribute Value
SID/RID connu S-1-18-4
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Local Service

Le compte Service local est similaire au compte Utilisateur authentifié. Les membres du compte Service local ont le même niveau d’accès aux ressources et aux objets que les membres du groupe Utilisateurs. Cet accès limité constitue une mesure de sécurité pour le système, au cas où le fonctionnement de services ou de processus donnés vient à être compromis. Les services qui s’exécutent sous le compte Service local accèdent aux ressources réseau dans une session null avec des informations d’identification anonymes. Le nom du compte est NT AUTHORITY\LocalService. Ce compte n’a pas de mot de passe.

Attribute Value
SID/RID connu S-1-5-19
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut Ajuster les quotas de mémoire pour un processus : (SeIncreaseQuotaPrivilege)

Ignorer la vérification transversale (SeChangeNotifyPrivilege)

Changer l’heure système : SeSystemtimePrivilege

Changer le fuseau horaire : SeTimeZonePrivilege

Créer des objets globaux : SeCreateGlobalPrivilege

Générer des audits de sécurité : SeAuditPrivilege

Emprunter l’identité d’un client après l’authentification : SeImpersonatePrivilege

Remplacer un jeton de niveau processus (SeAssignPrimaryTokenPrivilege)

LocalSystem

Le compte LocalSystem est un compte de service utilisé par le système d’exploitation. Le compte LocalSystem est un compte puissant qui a un accès complet au système et représente l’ordinateur sur le réseau. Si un service se connecte au compte LocalSystem sur un contrôleur de domaine, ce service a accès à l’ensemble du domaine. Certains services sont configurés par défaut pour se connecter au compte LocalSystem. Ne changez pas le paramètre de service par défaut. Le nom du compte est LocalSystem. Ce compte n’a pas de mot de passe.

Attribute Value
SID/RID connu S-1-5-18
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Propriété de clé MFA

SID qui signifie que l’objet d’approbation de clé a la propriété d’authentification multifacteur (MFA).

Attribute Value
SID/RID connu S-1-18-5
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Network

Ce groupe comprend implicitement tous les utilisateurs connectés avec une connexion réseau. Tout utilisateur qui accède au système sur un réseau a l’identité Réseau. Cette identité permet uniquement aux utilisateurs distants d’accéder à une ressource. Chaque fois qu’un utilisateur accède à une ressource sur le réseau, il est ajouté automatiquement au groupe Réseau. L’appartenance est contrôlée par le système d’exploitation.

Attribute Value
SID/RID connu S-1-5-2
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Service réseau

Le compte Service réseau est similaire au compte Utilisateur authentifié. Les membres du compte Service réseau ont le même niveau d’accès aux ressources et aux objets que les membres du groupe Utilisateurs. Cet accès limité constitue une mesure de sécurité pour le système, au cas où le fonctionnement de services ou de processus donnés vient à être compromis. Les services qui exécutent le compte de service réseau accèdent aux ressources réseau à l'aide des informations d'identification du compte d'ordinateur. Le nom du compte est NT AUTHORITY\NetworkService. Ce compte n’a pas de mot de passe.

Attribute Value
SID/RID connu S-1-5-20
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut Ajuster les quotas de mémoire pour un processus : (SeIncreaseQuotaPrivilege)

Ignorer la vérification transversale (SeChangeNotifyPrivilege)

Créer des objets globaux : SeCreateGlobalPrivilege

Générer des audits de sécurité : SeAuditPrivilege

Emprunter l’identité d’un client après l’authentification : SeImpersonatePrivilege

Remplacer un jeton de niveau processus (SeAssignPrimaryTokenPrivilege)

Authentification NTLM

Attribute Value
SID/RID connu S-1-5-64-10
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Autre organisation

Ce groupe comprend implicitement tous les utilisateurs connectés au système avec une connexion d’accès à distance. L’appartenance est contrôlée par le système d’exploitation.

Attribute Value
SID/RID connu S-1-5-1000
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Droits du propriétaire

Le groupe Droits de propriétaire représente le propriétaire actuel de l’objet. Quand une ACE qui porte ce SID est appliquée à un objet, le système ignore les autorisations implicites READ_CONTROL et WRITE_DAC du propriétaire de l’objet.

Attribute Value
SID/RID connu S-1-3-4
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Principal Auto

Cette identité est un espace réservé dans une ACE pour un utilisateur, un groupe ou un objet ordinateur dans Active Directory. Quand vous accordez des autorisations à Principal lui-même, vous les accordez au principal de sécurité représenté par l’objet. Pendant une vérification d’accès, le système d’exploitation remplace le SID de Principal lui-même par le SID du principal de sécurité représenté par l’objet.

Attribute Value
SID/RID connu S-1-5-10
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Proxy

Identifie un proxy SECURITY_NT_AUTHORITY.

Attribute Value
SID/RID connu S-1-5-8
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Contrôleurs de domaine en lecture seule

Ce groupe inclut tous les contrôleurs de domaine en lecture seule (RODC) dans le domaine, avec des droits en lecture seule sur la base de données Active Directory. À l’exception des mots de passe de compte, un contrôleur de domaine en lecture seule (RODC) contient tous les objets et attributs Active Directory d’un contrôleur de domaine en écriture. Il permet le déploiement de contrôleurs de domaine quand la sécurité physique est faible ou non garantie. Les contrôleurs de domaine sont des membres explicites de ce groupe.

Attribute Value
SID/RID connu S-1-5-21-<domaine>-521
Classe d’objets Group
Emplacement par défaut dans Active Directory CN=Users, DC=<rootDomain>
Droits d’utilisateur par défaut None

Note

Le groupe Réplication de mot de passe RODC refusée est créé automatiquement quand un compte RODC est créé dans la forêt. Les mots de passe ne peuvent pas être répliqués dans le groupe Réplication de mot de passe RODC refusée.

Ouverture de session interactive

Cette identité représente tous les utilisateurs actuellement connectés à un ordinateur avec une connexion de protocole RDP (Remote Desktop Protocol). Ce groupe est un sous-ensemble du groupe interactif. Les jetons d’accès qui contiennent le SID Ouverture de session interactive à distance contiennent également le SID Interactif.

Attribute Value
SID/RID connu S-1-5-14
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Restricted

Les utilisateurs et les ordinateurs avec des fonctionnalités restreintes ont l’identité Restreint. Ce groupe d’identité est utilisé par un processus qui s’exécute dans un contexte de sécurité restreint, comme l’exécution d’une application avec le service RunAs. Quand le code s’exécute au niveau de sécurité Restreint, le SID Restreint est ajouté au jeton d’accès de l’utilisateur.

Attribute Value
SID/RID connu S-1-5-12
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Authentification SChannel

Attribute Value
SID/RID connu S-1-5-64-14
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Service

Tout service qui accède au système a l’identité Service. Ce groupe d’identité comprend tous les principaux de sécurité qui sont connectés en tant que service. Cette identité accorde l’accès aux processus exécutés par les services Windows Server. L’appartenance est contrôlée par le système d’exploitation.

Attribute Value
SID/RID connu S-1-5-6
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut Créer des objets globaux : SeCreateGlobalPrivilege

Emprunter l’identité d’un client après l’authentification : SeImpersonatePrivilege

Identité déclarée par le service

SID qui signifie que l’identité du client est déclarée par un service.

Attribute Value
SID/RID connu S-1-18-2
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Utilisateur Terminal Server

Tout utilisateur qui accède au système avec des services Terminal Server a l’identité Utilisateur Terminal Server. Cette identité permet aux utilisateurs d’accéder aux applications Terminal Server et d’effectuer d’autres tâches nécessaires avec les services Terminal Server. L’appartenance est contrôlée par le système d’exploitation.

Attribute Value
SID/RID connu S-1-5-13
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Cette organisation

Attribute Value
SID/RID connu S-1-5-15
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut None

Gestionnaire de fenêtres\Groupe Gestionnaire de fenêtres

Attribute Value
SID/RID connu S-1-5-90
Classe d’objets Principal de sécurité extérieur
Emplacement par défaut dans Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Droits d’utilisateur par défaut Ignorer la vérification transversale (SeChangeNotifyPrivilege)

Augmenter une plage de travail de processus : SeIncreaseWorkingSetPrivilege

Contenu connexe

  • Last updated on