访问控制（Windows 筛选平台）

在 Windows 筛选平台 (WFP) 中，基本筛选引擎 (BFE) 服务基于访问令牌和安全描述符实现标准 Windows 访问控制模型 。

访问控制模型

添加新的 WFP 对象（例如筛选器和子层）时，可以指定安全描述符。 安全描述符使用 WFP 管理功能 Fwpm*GetSecurityInfo0 和 Fwpm*SetSecurityInfo0 进行管理，其中 * 代表 WFP 对象的名称。 这些函数在语义上与 Windows GetSecurityInfo 和 SetSecurityInfo 函数相同。

注意

Fwpm*SetSecurityInfo0 函数不能从显式事务中调用。

注意

如果 Fwpm*SetSecurityInfo0 函数用于管理在同一会话中创建的动态对象，则只能从动态会话中调用这些函数。

下图中筛选器引擎的默认安全描述符 (根引擎对象) 如下所示。

• 授予 GENERIC_ALL (GA) 对内置 Administrators 组的访问权限。
• GENERIC_READ ( GR) GENERIC_WRITE (GW) GENERIC_EXECUTE (GX) 网络配置操作员的访问权限。
• 向以下服务安全标识符授予 GRGWGX 访问权限 (SSID) ：MpsSvc (Windows 防火墙) 、NapAgent (网络访问保护代理) 、PolicyAgent (IPsec 策略代理) 、RpcSs (Remote Procedure Call) 和 WdiServiceHost (Diagnostic Service 主机) 。
• 向所有人授予 FWPM_ACTRL_OPEN 和 FWPM_ACTRL_CLASSIFY 。 (这些是粮食计划署特定的访问权限，如下表所述。)

剩余的默认安全描述符通过继承派生。

某些访问检查（例如 Fwpm*Add0、 Fwpm*CreateEnumHandle0、 Fwpm*SubscribeChanges0 函数调用）无法在单个对象级别完成。 对于这些函数，每种对象类型都有容器对象。 对于标准对象类型 (例如提供程序、标注、筛选器) ，将重载现有的 Fwpm*GetSecurityInfo0 和 Fwpm*SetSecurityInfo0 函数，以便 null GUID 参数标识关联的容器。 对于其他对象类型 (例如网络事件和 IPsec 安全关联) ，有用于管理容器安全信息的显式函数。

BFE 支持自动继承自由访问控制列表 (DACL) 访问控制条目 (ACE) 。 BFE 不支持系统访问控制列表 (SACL) ACE。 对象从其容器继承 ACE。 容器从筛选器引擎继承 ACE。 下图显示了传播路径。

对于标准对象类型，BFE 强制实施所有泛型和标准访问权限。 此外，WFP 还定义了以下特定访问权限。

WFP 访问权限	说明
FWPM_ACTRL_ADD	将对象添加到容器时是必需的。
FWPM_ACTRL_ADD_LINK	创建与 对象的关联所必需的。 例如，若要添加引用标注的筛选器，调用方必须具有对标注ADD_LINK访问权限。
FWPM_ACTRL_BEGIN_READ_TXN	开始显式读取事务所必需的。
FWPM_ACTRL_BEGIN_WRITE_TXN	开始显式写入事务所必需的。
FWPM_ACTRL_CLASSIFY	需要针对用户模式层进行分类。
FWPM_ACTRL_ENUM	枚举容器中的对象所必需的。 但是，枚举器仅返回调用方FWPM_ACTRL_READ访问的对象。
FWPM_ACTRL_OPEN	需要使用 BFE 打开会话。
FWPM_ACTRL_READ	读取对象的属性所必需的。
FWPM_ACTRL_READ_STATS	读取统计信息所必需的。
FWPM_ACTRL_SUBSCRIBE	订阅通知所必需的。 订阅服务器将仅接收其FWPM_ACTRL_READ访问对象的通知。
FWPM_ACTRL_WRITE	设置引擎选项时必需。

BFE 跳过内核模式调用方的所有访问检查。

为了防止管理员把自己锁定在 BFE 外，始终向内置管理员组的成员授予 FWPM_ACTRL_OPEN 引擎对象。 因此，管理员可以通过以下步骤重新获得访问权限。

• 启用 SE_TAKE_OWNERSHIP_NAME 权限。
• 调用 FwpmEngineOpen0。 调用成功，因为调用方是内置管理员的成员。
• 获取引擎对象的所有权。 此操作成功，因为调用方具有 SE_TAKE_OWNERSHIP_NAME 特权。
• 更新 DACL。 此操作成功，因为所有者始终具有 WRITE_DAC 访问权限

由于 BFE 支持自己的自定义审核，因此它不会生成泛型对象访问审核。 因此，将忽略 SACL。

WFP 所需的访问权限

下表显示了 WFP 函数访问各种筛选平台对象所需的访问权限。 FwpmFilter* 函数作为访问标准对象的示例列出。 访问标准对象的所有其他函数都遵循 FwpmFilter* 函数访问模型。

函数	选中的对象	需要访问权限
FwpmEngineOpen0	引擎	FWPM_ACTRL_OPEN
FwpmEngineGetOption0	引擎	FWPM_ACTRL_READ
FwpmEngineSetOption0	引擎	FWPM_ACTRL_WRITE
FwpmSessionCreateEnumHandle0	引擎	FWPM_ACTRL_ENUM
FwpmTransactionBegin0	引擎	& FWPM_ACTRL_BEGIN_READ_TXNFWPM_ACTRL_BEGIN_WRITE_TXN
FwpmFilterAdd0	容器提供程序 层 Sub-Layer 标注 提供程序上下文	FWPM_ACTRL_ADDFWPM_ACTRL_ADD_LINK FWPM_ACTRL_ADD_LINK FWPM_ACTRL_ADD_LINK FWPM_ACTRL_ADD_LINK FWPM_ACTRL_ADD_LINK
FwpmFilterDeleteById0 FwpmFilterDeleteByKey0	筛选器	DELETE
FwpmFilterGetById0 FwpmFilterGetByKey0	筛选器	FWPM_ACTRL_READ
FwpmFilterCreateEnumHandle0	容器筛选器	FWPM_ACTRL_ENUMFWPM_ACTRL_READ
FwpmFilterSubscribeChanges0	容器	FWPM_ACTRL_SUBSCRIBE
FwpmFilterSubscriptionsGet0	容器	FWPM_ACTRL_READ
IPsecGetStatistics0	IPsec SA DB	FWPM_ACTRL_READ_STATS
IPsecSaContextCreate0 IPsecSaContextGetSpi0 IPsecSaContextAddInbound0 IPsecSaContextAddOutbound0	IPsec SA DB	FWPM_ACTRL_ADD
IPsecSaContextDeleteById0 IPsecSaContextExpire0	IPsec SA DB	DELETE
IPsecSaContextGetById0	IPsec SA DB	FWPM_ACTRL_READ
IPsecSaContextCreateEnumHandle0 IPsecSaCreateEnumHandle0	IPsec SA DB	& FWPM_ACTRL_ENUMFWPM_ACTRL_READ
IkeextGetStatistics0	IKE SA DB	FWPM_ACTRL_READ_STATS
IkeextSaDeleteById0	IKE SA DB	DELETE
IkeextSaGetById0	IKE SA DB	FWPM_ACTRL_READ
IkeextSaCreateEnumHandle0	IKE SA DB	& FWPM_ACTRL_ENUMFWPM_ACTRL_READ
FwpmNetEventCreateEnumHandle0	容器	FWPM_ACTRL_ENUM
FwpmIPsecTunnelAdd0 FwpmIPsecTunnelDeleteByKey0	除了单个筛选器和提供程序上下文的访问检查之外，没有其他访问检查

相关主题

• 标准访问权限
• Windows 访问控制模型
• Windows 筛选平台访问权限标识符