Constantes de privilèges (autorisation)
Les privilèges déterminent le type d’opérations système qu’un compte d’utilisateur peut effectuer. Un administrateur attribue des privilèges aux comptes d’utilisateur et de groupe. Les privilèges de chaque utilisateur incluent ceux accordés à cet utilisateur et aux groupes auxquels il appartient.
Les fonctions qui obtiennent et ajustent les privilèges dans un jeton d’accès utilisent le type d’identificateur unique local (LUID) pour identifier les privilèges. Utilisez la fonction LookupPrivilegeValue pour déterminer le LUID sur le système local qui correspond à une constante de privilège. Utilisez la fonction LookupPrivilegeName pour convertir un LUID en sa constante de chaîne correspondante.
Le système d’exploitation représente un privilège en utilisant la chaîne qui suit « Droit utilisateur » dans la colonne Description du tableau ci-dessous. Le système d’exploitation affiche les chaînes de droit utilisateur dans la colonne Stratégie du nœud Attribution des droits utilisateur du composant logiciel enfichable Microsoft Management Console (MMC) des paramètres de sécurité locaux.
Exemple
BOOL EnablePrivilege()
{
LUID PrivilegeRequired ;
BOOL bRes = FALSE;
bRes = LookupPrivilegeValue(NULL, SE_DEBUG_NAME, &PrivilegeRequired);
// ...
return bRes;
}
Exemples classiques Windows sur GitHub.
Constantes
| Constante/valeur | Description |
|---|---|
|
Obligatoire pour attribuer le jeton principal d’un processus. Droit utilisateur : Remplacer un jeton de niveau processus. |
|
Obligatoire pour générer des entrées de journal d’audit. Accordez ce privilège à des serveurs sécurisés. Droit utilisateur : Générer des audits de sécurité. |
|
Obligatoire pour effectuer des opérations de sauvegarde. Ce privilège permet au système d’accorder le contrôle d’accès en lecture à n’importe quel fichier, quelle que soit la liste de contrôle d’accès (ACL) spécifiée pour le fichier. Toute demande d’accès autre que la lecture est toujours évaluée avec la liste de contrôle d’accès. Ce privilège est requis par les fonctions RegSaveKey et RegSaveKeyEx. Les droits d’accès suivants sont accordés si ce privilège est détenu :
Si le fichier se trouve sur un lecteur amovible et que l’option « Audit de stockage amovible » est activée, la constante SE_SECURITY_NAME doit avoir le droit ACCESS_SYSTEM_SECURITY. |
|
Obligatoire pour recevoir des notifications de modifications apportées aux fichiers ou répertoires. Ce privilège permet également au système d’ignorer toutes les vérifications d’accès de parcours. Il est activé par défaut pour tous les utilisateurs. Droit utilisateur : Contourner la vérification de parcours. |
|
Obligatoire pour créer des objets nommés de mappage de fichiers dans l’espace de noms global pendant les sessions Terminal Services. Ce privilège est activé par défaut pour les administrateurs, les services et le compte système local. Droit utilisateur : Créer des objets globaux. |
|
Obligatoire pour créer un fichier d’échange. Droit utilisateur : Créer un fichier d’échange. |
|
Obligatoire pour créer un objet permanent. Droit utilisateur : Créer des objets partagés permanents. |
|
Obligatoire pour créer un lien symbolique. Droit utilisateur : Créer des liens symboliques. |
|
Obligatoire pour créer un jeton principal. Droit utilisateur : Crée un objet-jeton. Vous ne pouvez pas ajouter ce privilège à un compte d’utilisateur avec la stratégie « Créer un objet-jeton ». En outre, vous ne pouvez pas ajouter ce privilège à un processus propriétaire à l’aide d’API Windows. Windows Server 2003 et Windows XP avec SP1 et versions antérieures : les API Windows peuvent ajouter ce privilège à un processus propriétaire. |
|
Obligatoire pour déboguer et ajuster la mémoire d’un processus appartenant à un autre compte. Droit utilisateur : Déboguer des programmes. |
|
Obligatoire pour obtenir un jeton d’emprunt d’identité pour un autre utilisateur dans la même session. Droit utilisateur : Emprunter l’identité d’autres utilisateurs. |
|
Obligatoire pour marquer les comptes d’utilisateur et d’ordinateur comme étant approuvés pour la délégation. Droit utilisateur : Permettre aux comptes d’ordinateur et d’utilisateur d’être approuvés pour la délégation. |
|
Obligatoire pour l’emprunt d’identité. Droit utilisateur : Emprunter l’identité d’un client après l’authentification. |
|
Obligatoire pour augmenter la priorité de base d’un processus. Droit utilisateur : Augmenter la priorité de planification. |
|
Obligatoire pour augmenter le quota attribué à un processus. Droit utilisateur : Ajuster les quotas de mémoire pour un processus. |
|
Obligatoire pour allouer plus de mémoire aux applications qui s’exécutent dans le contexte des utilisateurs. Droit utilisateur : Augmenter une plage de travail de processus. |
|
Requis pour charger ou décharger un pilote de périphérique. Droit utilisateur : Charger et décharger les pilotes de périphériques. |
|
Obligatoire pour verrouiller des pages physiques en mémoire. Droit utilisateur : Verrouiller les pages en mémoire. |
|
Obligatoire pour créer un compte d’ordinateur. Droit utilisateur : Ajouter des stations de travail au domaine. |
|
Obligatoire pour activer les privilèges de gestion des volumes. Droit utilisateur : Effectuer les tâches de maintenance de volume. |
|
Obligatoire pour collecter des informations de profilage pour un seul processus. Droit utilisateur : Profiler un seul processus. |
|
Obligatoire pour modifier le niveau d’intégrité obligatoire d’un objet. Droit utilisateur : Modifier un nom d’objet. |
|
Obligatoire pour arrêter un système à l’aide d’une requête réseau. Droit utilisateur : Forcer l’arrêt à partir d’un système distant. |
|
Obligatoire pour effectuer des opérations de restauration. Ce privilège permet au système d’accorder le contrôle d’accès en écriture à n’importe quel fichier, quelle que soit la liste de contrôle d’accès (ACL) spécifiée pour le fichier. Toute demande d’accès autre que l’écriture est toujours évaluée avec la liste de contrôle d’accès. En outre, ce privilège vous permet de définir n’importe quel SID d’utilisateur ou de groupe valide comme propriétaire d’un fichier. Ce privilège est requis par la fonction RegLoadKey. Les droits d’accès suivants sont accordés si ce privilège est détenu :
Si le fichier se trouve sur un lecteur amovible et que l’option « Audit de stockage amovible » est activée, la constante SE_SECURITY_NAME doit avoir le droit ACCESS_SYSTEM_SECURITY. |
|
Obligatoire pour effectuer un certain nombre de fonctions liées à la sécurité, telles que le contrôle et l’affichage des messages d’audit. Ce privilège identifie son titulaire en tant qu’opérateur de sécurité. Droit utilisateur : Gérer le journal d’audit et de sécurité. |
|
Obligatoire pour arrêter un système local. Droit utilisateur : Arrêter le système. |
|
Obligatoire pour qu’un contrôleur de domaine utilise les services de synchronisation d’annuaires Lightweight Directory Access Protocol (LDAP). Ce privilège permet au titulaire de lire tous les objets et toutes les propriétés dans l’annuaire, quelle que soit la protection sur ces objets et propriétés. Par défaut, il est attribué aux comptes Administrateur et LocalSystem sur des contrôleurs de domaine. Droit utilisateur : Synchroniser les données du service d’annuaire. |
|
Obligatoire pour modifier la mémoire RAM non volatile des systèmes qui utilisent ce type de mémoire pour stocker les informations de configuration. Droit utilisateur : Modifier les valeurs de l’environnement du microprogramme. |
|
Obligatoire pour collecter des informations de profilage pour tout le système. Droit utilisateur : Profiler les performances du système. |
|
Obligatoire pour modifier l’heure du système. Droit utilisateur : Modifier l’heure système. |
|
Obligatoire pour prendre possession d’un objet sans disposer de l’accès discrétionnaire. Ce privilège permet à la valeur propriétaire d’être définie uniquement sur les valeurs que le titulaire peut légitimement attribuer en tant que propriétaire d’un objet. Droit utilisateur : Prendre possession de fichiers ou d’autres objets. |
|
Ce privilège identifie son titulaire dans le cadre de la base d’ordinateurs approuvés. Certains sous-systèmes protégés approuvés bénéficient de ce privilège. Droit utilisateur : Agir en tant que partie du système d’exploitation. |
|
Obligatoire pour ajuster le fuseau horaire associé à l’horloge interne de l’ordinateur. Droit utilisateur : Changer le fuseau horaire. |
|
Obligatoire pour accéder au gestionnaire d’informations d’identification en tant qu’appelant approuvé. Droit utilisateur : Accéder au gestionnaire d’informations d’identification en tant qu’appelant approuvé. |
|
Obligatoire pour retirer un ordinateur portable de la station d’accueil. Droit utilisateur : Retirer l’ordinateur de la station d’accueil. |
|
Obligatoire pour lire les entrées non sollicitées à partir d’un appareil terminal. Droit utilisateur : Non applicable. |
Notes
Les constantes de privilèges sont définies en tant que chaînes dans Winnt.h. Par exemple, la constante SE_AUDIT_NAME est définie comme « SeAuditPrivilege ».
Spécifications
| Condition requise | Value |
|---|---|
| Client minimal pris en charge |
Windows XP [applications de bureau uniquement] |
| Serveur minimal pris en charge |
Windows Server 2003 [applications de bureau uniquement] |
| En-tête |
|