存取控制 （Windows 篩選平臺）
在 Windows 篩選平臺 （WFP） 中，基礎篩選引擎 （BFE） 服務會根據存取令牌和安全性描述元實作標準的 Windows 訪問控制模型 。
訪問控制模型
新增新的 WFP 物件時，可以指定安全性描述元，例如篩選條件和子層。 安全性描述項是使用 WFP 管理功能 Fwpm*GetSecurityInfo0 和 Fwpm*SetSecurityInfo0 來管理，其中 * 代表 WFP 對象的名稱。 這些函式在語意上與 Windows GetSecurityInfo 和 SetSecurityInfo 函式相同。
注意
Fwpm*SetSecurityInfo0 函式無法從明確交易內呼叫。
注意
Fwpm*SetSecurityInfo0 函式只有在用來管理在同一會話內建立的動態物件時，才能從動態會話內呼叫。
篩選引擎的預設安全性描述元（下圖中的根引擎物件）如下所示。
- 將GENERIC_ALL （GA） 訪問許可權授與內建 管理員 istrators 群組。
- 將GENERIC_READ （GR） GENERIC_WRITE （GW） GENERIC_EXECUTE （GX） 訪問許可權授與網路設定操作員。
- 將 GRGWGX 訪問許可權授與下列服務安全性識別碼 （SSID：MpsSvc （Windows 防火牆）、NapAgent （網路存取保護代理程式）、PolicyAgent （IPsec 原則代理程式）、RpcSs （遠端過程調用）和 WdiServiceHost （診斷服務主機）。
- 將FWPM_ACTRL_OPEN和FWPM_ACTRL_CLASSIFY授與每個人。 （這些是糧食計劃署特定的訪問許可權，如下表所述。
其餘的預設安全性描述元是透過繼承衍生而來。
有一些存取檢查，例如 Fwpm*Add0、 Fwpm*CreateEnumHandle0、 Fwpm*SubscribeChanges0 函式呼叫，無法在個別物件層級完成。 針對這些函式，每個物件類型都有容器物件。 針對標準物件類型（例如提供者、圖說文字、篩選條件），現有的 Fwpm*GetSecurityInfo0 和 Fwpm*SetSecurityInfo0 函式會多載，讓 Null GUID 參數識別相關聯的容器。 對於其他物件類型（例如網路事件和 IPsec 安全性關聯），有明確的函式可用來管理容器的安全性資訊。
BFE 支援自動繼承任意 存取控制 清單 （DACL） 訪問控制專案 （ACE）。 BFE 不支援系統 存取控制 清單 （SACL） ACE。 物件會繼承其容器的 ACE。 容器會從篩選引擎繼承 ACE。 下圖顯示傳播路徑。
針對標準物件類型，BFE 會強制執行所有泛型和標準訪問許可權。 此外，WFP 會定義下列特定訪問許可權。
| WFP 存取權 | 描述 |
|---|---|
| FWPM_ACTRL_ADD |
將物件新增至容器的必要專案。 |
| FWPM_ACTRL_ADD_LINK |
建立物件關聯的必要專案。 例如，若要新增參考圖說文字的篩選條件，呼叫端必須具有圖說文字的ADD_LINK存取權。 |
| FWPM_ACTRL_BEGIN_READ_TXN |
開始明確讀取交易的必要專案。 |
| FWPM_ACTRL_BEGIN_WRITE_TXN |
開始明確寫入交易的必要專案。 |
| FWPM_ACTRL_CLASSIFY |
必須針對使用者模式層進行分類。 |
| FWPM_ACTRL_ENUM |
列舉容器中物件的必要專案。 不過，列舉值只會傳回呼叫端具有FWPM_ACTRL_READ存取權的物件。 |
| FWPM_ACTRL_OPEN |
需要以 BFE 開啟會話。 |
| FWPM_ACTRL_READ |
讀取物件屬性的必要專案。 |
| FWPM_ACTRL_READ_STATS |
讀取統計數據的必要專案。 |
| FWPM_ACTRL_SUBSCRIBE |
訂閱通知的必要專案。 訂閱者只會接收其具有FWPM_ACTRL_READ存取權之物件的通知。 |
| FWPM_ACTRL_WRITE |
必須設定引擎選項。 |
BFE 會略過核心模式呼叫端的所有存取檢查。
為了避免系統管理員將自己鎖定在 BFE 外，內建系統管理員群組的成員一律會被 授與引擎物件FWPM_ACTRL_OPEN 。 因此，系統管理員可以透過下列步驟重新取得存取權。
- 啟用SE_TAKE_OWNERSHIP_NAME許可權。
- 呼叫 FwpmEngineOpen0。 呼叫成功，因為呼叫端是內建 管理員 istrators 的成員。
- 取得引擎對象的擁有權。 這會成功，因為呼叫端具有 SE_TAKE_OWNERSHIP_NAME 許可權。
- 更新 DACL。 這會成功，因為擁有者一律具有 WRITE_DAC 存取權
由於 BFE 支援自己的自定義稽核，因此不會產生一般物件存取稽核。 因此，會忽略 SACL。
WFP 必要訪問許可權
下表顯示 WFP 函式為了存取各種篩選平台物件所需的訪問許可權。 FwpmFilter* 函式會列為存取標準物件的範例。 所有其他存取標準物件的函式都遵循 FwpmFilter* 函式存取模型。
| 函式 | 已檢查物件 | 需要存取權 |
|---|---|---|
| FwpmEngineOpen0 | 引擎 | FWPM_ACTRL_OPEN |
| FwpmEngineGetOption0 | 引擎 | FWPM_ACTRL_READ |
| FwpmEngineSetOption0 | 引擎 | FWPM_ACTRL_WRITE |
| FwpmSessionCreateEnumHandle0 | 引擎 | FWPM_ACTRL_ENUM |
| FwpmTransactionBegin0 | 引擎 | FWPM_ACTRL_BEGIN_READ_TXN和FWPM_ACTRL_BEGIN_WRITE_TXN |
| FwpmFilterAdd0 | 容器提供者 層 子層 圖說文字 提供者內容 |
FWPM_ACTRL_ADDFWPM_ACTRL_ADD_LINK FWPM_ACTRL_ADD_LINK FWPM_ACTRL_ADD_LINK FWPM_ACTRL_ADD_LINK FWPM_ACTRL_ADD_LINK |
| FwpmFilterDeleteById0 FwpmFilterDeleteByKey0 |
篩選器 | DELETE |
| FwpmFilterGetById0 FwpmFilterGetByKey0 |
篩選器 | FWPM_ACTRL_READ |
| FwpmFilterCreateEnumHandle0 | 容器篩選 |
FWPM_ACTRL_ENUMFWPM_ACTRL_READ |
| FwpmFilterSubscribeChanges0 | 容器 | FWPM_ACTRL_SUBSCRIBE |
| FwpmFilterSubscriptionsGet0 | 容器 | FWPM_ACTRL_READ |
| IPsecGetStatistics0 | IPsec SA DB | FWPM_ACTRL_READ_STATS |
| IPsecSaContextCreate0 IPsecSaContextGetSpi0 IPsecSaContextAddInbound0 IPsecSaContextAddOutbound0 |
IPsec SA DB | FWPM_ACTRL_ADD |
| IPsecSaContextDeleteById0 IPsecSaContextExpire0 |
IPsec SA DB | DELETE |
| IPsecSaContextGetById0 | IPsec SA DB | FWPM_ACTRL_READ |
| IPsecSaContextCreateEnumHandle0 IPsecSaCreateEnumHandle0 |
IPsec SA DB | FWPM_ACTRL_ENUM和FWPM_ACTRL_READ |
| IkeextGetStatistics0 | IKE SA DB | FWPM_ACTRL_READ_STATS |
| IkeextSaDeleteById0 | IKE SA DB | DELETE |
| IkeextSaGetById0 | IKE SA DB | FWPM_ACTRL_READ |
| IkeextSaCreateEnumHandle0 | IKE SA DB | FWPM_ACTRL_ENUM和FWPM_ACTRL_READ |
| FwpmNetEventCreateEnumHandle0 | 容器 | FWPM_ACTRL_ENUM |
| FwpmIPsecTunnelAdd0 FwpmIPsecTunnelDeleteByKey0 |
除了個別篩選和提供者內容之外，沒有其他存取檢查 |