SeFilterToken 函式 (ntifs.h)

發行項
02/29/2024

SeFilterToken 例程會建立新的存取令牌，這是現有存取令牌的限制版本。

語法

NTSTATUS SeFilterToken(
  [in]           PACCESS_TOKEN     ExistingToken,
  [in]           ULONG             Flags,
  [in, optional] PTOKEN_GROUPS     SidsToDisable,
  [in, optional] PTOKEN_PRIVILEGES PrivilegesToDelete,
  [in, optional] PTOKEN_GROUPS     RestrictedSids,
                 PACCESS_TOKEN     *FilteredToken
);

參數

[in] ExistingToken

主要或模擬令牌的指標。令牌也可以是受限制的令牌。此令牌必須已經開啟，才能TOKEN_DUPLICATE存取。呼叫 ObReferenceObjectByHandle，將TOKEN_DUPLICATE指定為 DesiredAccess 類型，即可從現有的令牌句柄取得此指標。

[in] Flags

指定其他許可權選項。此參數可以是零或下列值的組合。

值	意義
DISABLE_MAX_PRIVILEGE	停用新令牌中的所有許可權，但SE_CHANGE_NOTIFY_PRIVILEGE除外。如果指定這個值，則會忽略 PrivilegesToDelete 參數。
SANDBOX_INERT	將TOKEN_SANDBOX_INERT旗標儲存在令牌中。

[in, optional] SidsToDisable

TOKEN_GROUPS 結構的指標，其中包含指定受限制令牌中僅拒絕 SID 之SID_AND_ATTRIBUTES結構的陣列。系統會使用僅限拒絕的 SID 來拒絕對安全性實體物件的存取。缺少僅限拒絕的 SID 不允許存取。

停用 SID 會開啟 SE_GROUP_USE_FOR_DENY_ONLY，並關閉 SE_GROUP_ENABLED和SE_GROUP_ENABLED_BY_DEFAULT。其他屬性都會被忽略。

僅限拒絕屬性適用於現有令牌 SID 的任何組合，包括具有SE_GROUP_MANDATORY屬性的使用者 SID 和群組 SID。若要取得與現有令牌相關聯的 SID，請使用 TokenUser 和 TokenGroups 旗標呼叫 SeQueryInformationToken 。 SeFilterToken 會忽略數位中未在現有令牌中找到的任何 SID。

SeFilterToken 會忽略SID_AND_ATTRIBUTES結構的 Attributes 成員。

此參數是選擇性的，可以是 NULL。

[in, optional] PrivilegesToDelete

TOKEN_PRIVILEGES 結構的指標，其中包含指定在受限制令牌中刪除之許可權的LUID_AND_ATTRIBUTES結構陣列。

若要取得現有令牌所持有的許可權，請使用 TokenPrivileges 旗標呼叫 SeQueryInformationToken 。 SeFilterToken 會忽略數位中未由現有令牌持有的任何許可權。

SeFilterToken 會忽略LUID_AND_ATTRIBUTES結構的 Attributes 成員。

此參數是選擇性的，可以是 NULL。

[in, optional] RestrictedSids

TOKEN_GROUPS 結構的指標，其中包含指定新令牌限制 SID 清單的SID_AND_ATTRIBUTES結構數位。如果現有令牌是受限制的令牌，則新令牌的限制 SID 清單是這個陣列的交集，以及限制現有令牌的 SID 清單。

SID_AND_ATTRIBUTES結構的 Attributes 成員必須是零。限制 SID 一律會啟用存取檢查。

此參數是選擇性的，可以是 NULL。

FilteredToken

接收新受限制令牌位址之呼叫端配置的變數指標。新的令牌與現有令牌的類型相同，主要或模擬。

傳回值

如果一或多個參數值無效， SeFilterToken 會傳回STATUS_INVALID_PARAMETER。 (如果目標令牌不是模擬令牌，則會傳回此值。) 否則 ，SeFilterToken 會傳回STATUS_SUCCESS。

備註

SeFilterToken 可以透過下列方式限制令牌：

將僅限拒絕屬性套用至令牌中的 SID，使其無法用來存取受保護的物件。如需僅限拒絕屬性的詳細資訊，請參閱 Microsoft Windows SDK 檔中的存取令牌中的 SID 屬性。
從令牌中移除許可權。
指定限制 SID 的清單，當系統檢查令牌對安全性實體物件的存取權時，系統會使用此清單。系統會執行兩個存取檢查：一個使用令牌已啟用的SID，另一個則使用限制 SID 的清單。只有在兩個存取檢查都允許要求的訪問許可權時，才會授與存取權。

受限制的令牌可以與 SeCreateClientSecurity 和 SeImpersonateClientEx 搭配使用，以建立具有限制訪問許可權和許可權的程式。

如需安全性和訪問控制的詳細資訊，請參閱適用於驅動程序開發人員的 Windows 安全性模型，以及 Windows SDK 中有關這些主題的檔。

不再需要 NewToken 中傳回的令牌時，請呼叫 ObDereferenceObject 來釋出令牌。

規格需求

需求	值
最低支援的用戶端	Windows XP
目標平台	Universal
標頭	ntifs.h (包含 Ntifs.h)
程式庫	NtosKrnl.lib
Dll	NtosKrnl.exe
IRQL	< DISPATCH_LEVEL