Функция DsWriteAccountSpnA (ntdsapi.h)

Статья
03/08/2023

Функция DsWriteAccountSpn записывает массив имен субъектов-служб (SPN) в атрибут servicePrincipalName указанного объекта учетной записи пользователя или компьютера в доменные службы Active Directory. Функция может регистрировать или отменять регистрацию имен субъектов-служб.

Синтаксис

NTDSAPI DWORD DsWriteAccountSpnA(
  [in] HANDLE          hDS,
  [in] DS_SPN_WRITE_OP Operation,
  [in] LPCSTR          pszAccount,
  [in] DWORD           cSpn,
  [in] LPCSTR          *rpszSpn
);

Параметры

[in] hDS

Содержит дескриптор службы каталогов, полученный от функции DSBind или DSBindWithCred .

[in] Operation

Содержит одно из DS_SPN_WRITE_OP значений, указывающее операцию, которую будет выполнять DsWriteAccountSpn .

[in] pszAccount

Указатель на константную строку, заканчивающуюся null, которая указывает различающееся имя пользователя или объекта-компьютера в доменные службы Active Directory. Вызывающий объект должен иметь доступ на запись к свойству servicePrincipalName этого объекта.

[in] cSpn

Указывает количество имен субъектов-служб в rpszSpn. Если это значение равно нулю и операция содержит DS_SPN_REPLACE_SPN_OP, функция удаляет все значения из атрибута servicePrincipalName указанной учетной записи.

[in] rpszSpn

Указатель на массив строк с константой, заканчивающихся null, которые указывают имена субъектов-служб для добавления или удаления из учетной записи, определяемой параметром pszAccount . Функция DsGetSpn используется для создания имен субъектов-служб для службы.

Возвращаемое значение

Возвращает ERROR_SUCCESS в случае успешного выполнения или ошибку Win32, RPC или службы каталогов в случае неудачи.

Функция DsWriteAccountSpn регистрирует имена субъектов-служб для одного или нескольких экземпляров службы. Имена субъектов-служб используются клиентами в сочетании с доверенной службой проверки подлинности для проверки подлинности службы. Для защиты от атак безопасности, когда приложение или служба обманным путем регистрирует имя субъекта-службы, которое идентифицирует какую-либо другую службу, в большинстве случаев daCL для учетных записей пользователей и компьютеров позволяет регистрировать имена субъектов-служб только администраторам домена.

Одним из исключений из этого правила является то, что служба, запущенная под учетной записью LocalSystem, может вызывать DsWriteAccountSpn для регистрации простого имени субъекта-службы в формате ServiceClass/Host:Port, если узел, указанный в имени субъекта-службы, является DNS-или NetBIOS-именем компьютера, на котором выполняется служба.

Еще одним исключением является то, что daCL по умолчанию для учетных записей компьютеров позволяет вызывающим абонентам регистрировать имена субъектов-служб самостоятельно, при условии соблюдения определенных ограничений. Например, учетная запись компьютера может иметь имена субъектов-служб относительно имени компьютера в формате host/<computername>. Так как имя_компьютера содержится в имени субъекта-службы, имя субъекта-службы является допустимым.

Ни одно из приведенных выше правил не применяется, если DSA настроено на запись любого имени субъекта-службы. Однако это снижает безопасность, поэтому не рекомендуется.

Имена субъектов-служб, передаваемые в DsWriteAccountSpn , фактически добавляются в атрибут Service-Principal-Name объекта-компьютера в pszAccount. Этот вызов выполняется с помощью RPC к контроллеру домена, на котором хранится объект учетной записи, чтобы обеспечить безопасное применение политики в отношении разрешенных имен субъектов-служб в учетной записи. Использование ПРОТОКОЛА LDAP для записи непосредственно в свойство имени субъекта-службы не допускается; все операции записи должны выполняться через этот вызов RPC. Операции чтения с использованием ПРОТОКОЛА LDAP разрешены.

Разрешения, необходимые для установки имен субъектов-служб

Для записи произвольного имени субъекта-службы в учетной записи требуется право "Запись ServicePrincipalName", которое по умолчанию не предоставляется пользователю, создавшему учетную запись. Этот пользователь имеет право на запись проверенного имени субъекта-службы (присутствует только в учетных записях компьютеров).

Ниже приведена сводка прав на каждого пользователя в учетных записях компьютеров.

Тип пользователя	Права
Пользователь, создающий учетную запись	Запись проверенного имени субъекта-службы
Операторы учета	Запись имени субъекта-службы и запись проверенного имени субъекта-службы
Прошедшие проверку пользователи	None
(self)	Запись проверенного имени субъекта-службы

В учетных записях пользователей отсутствует свойство "Проверенное имя субъекта-службы" или "Запись имени субъекта-службы". Вместо этого набор свойств "Запись общедоступных сведений" предоставляет возможность создавать произвольные имена субъектов-служб.

Примечание

Заголовок ntdsapi.h определяет DsWriteAccountSpn в качестве псевдонима, который автоматически выбирает версию ANSI или Юникод этой функции на основе определения константы препроцессора ЮНИКОД. Сочетание использования псевдонима, не зависящий от кодировки, с кодом, не зависящим от кодировки, может привести к несоответствиям, которые приводят к ошибкам компиляции или среды выполнения. Дополнительные сведения см. в разделе Соглашения для прототипов функций.

Требования

Требование	Значение
Минимальная версия клиента	Windows Vista
Минимальная версия сервера	Windows Server 2008
Целевая платформа	Windows
Header	ntdsapi.h
Библиотека	Ntdsapi.lib
DLL	Ntdsapi.dll