已知的 SID

已知的 安全性標識碼 （SID） 會識別泛型群組和泛型使用者。 例如，有已知的 SID 可識別下列群組和使用者：

• 所有人或 World，這是包含所有使用者的群組。
• CREATOR_OWNER，在可繼承的 ACE 中做為佔位元。 繼承 ACE 時，系統會以物件的建立者的 SID 取代CREATOR_OWNER SID。
• 本機計算機上內建網域的 管理員 istrators 群組。

有 通用的已知 SID，在使用此安全性模型的所有安全系統上都有意義，包括 Windows 以外的作業系統。 此外，只有 Windows 系統上才有有意義的已知 SID。

Windows API 會針對已知的標識碼授權單位和 相對標識碼 （RID） 值定義一組常數。 您可以使用這些常數來建立已知的 SID。 下列範例會結合SECURITY_WORLD_SID_AUTHORITY和SECURITY_WORLD_RID常數，以顯示代表所有使用者的特殊群組通用已知 SID（所有人或世界）：

S-1-1-0

此範例使用 S 將字串識別為 SID 的 SID 字串表示法，前 1 個是 SID 的修訂層級，其餘兩位數是SECURITY_WORLD_SID_AUTHORITY和SECURITY_WORLD_RID常數。

您可以使用 AllocateAndInitializeSid 函式來建置 SID，方法是將標識符授權單位值與最多八個子授權值結合在一起。 例如，若要判斷登入的使用者是否為特定已知群組的成員，請呼叫 AllocateAndInitializeSid 來建置已知群組的 SID，並使用 EqualSid 函式比較該 SID 與使用者存取令牌中的群組 SID。 如需範例，請參閱 在 C++ 的存取令牌中搜尋 SID。 您必須呼叫 FreeSid 函式，以釋放 AllocateAndInitializeSid 所配置的 SID。

本節的其餘部分包含已知 SID 的數據表，以及標識元授權單位和子授權常數的數據表，可用來建置已知的 SID。

以下是一些 通用的已知 SID。

通用的已知 SID	識別
Null SID 字串值： S-1-0-0	沒有成員的群組。 當不知道 SID 值時，通常會使用這個值。
World 字串值： S-1-1-0	包含所有使用者的群組。
區域 字串值： S-1-2-0	登入本機終端機的使用者（實體上）連線到系統。
建立者擁有者識別碼 字串值： S-1-3-0	要以建立新物件使用者的安全性識別碼取代的安全性識別碼。 此 SID 用於可繼承的 ACE 中。
建立者群組識別碼 字串值： S-1-3-1	要以建立新物件使用者的主要群組 SID 取代的安全性識別碼。 在可繼承的 ACE 中使用此 SID。

下表列出預先定義的識別碼授權單位常數。 前四個值會與通用已知 SID 搭配使用;最後一個值會與 Windows 已知的 SID 搭配使用。

識別碼授權單位	值	[字串值]
SECURITY_NULL_SID_AUTHORITY	0	S-1-0
SECURITY_WORLD_SID_AUTHORITY	1	S-1-1
SECURITY_LOCAL_SID_AUTHORITY	2	S-1-2
SECURITY_CREATOR_SID_AUTHORITY	3	S-1-3
SECURITY_NT_AUTHORITY	5	S-1-5

下列 RID 值會與通用已知 SID 搭配使用。 [識別碼授權單位] 資料行會顯示識別碼授權單位的前置詞，可供您結合 RID 來建立通用已知的 SID。

相對識別碼授權單位	值	[字串值]
SECURITY_NULL_RID	0	S-1-0
SECURITY_WORLD_RID	0	S-1-1
SECURITY_LOCAL_RID	0	S-1-2
SECURITY_LOCAL_LOGON_RID	1	S-1-2
SECURITY_CREATOR_OWNER_RID	0	S-1-3
SECURITY_CREATOR_GROUP_RID	1	S-1-3

SECURITY_NT_AUTHORITY （S-1-5） 預先定義的標識碼授權單位會產生非通用但只在 Windows 安裝上有意義的 SID。 您可以使用下列 RID 值搭配SECURITY_NT_AUTHORITY來建立已知的 SID。

持續性	識別
SECURITY_DIALUP_RID 字串值： S-1-5-1	使用撥號數據機登入 終端 機的使用者。 這是群組標識碼。
SECURITY_NETWORK_RID 字串值： S-1-5-2	跨網路登入的使用者。 這是在跨網路登入時，新增至進程令牌的群組標識符。 對應的登入類型是LOGON32_LOGON_NETWORK。
SECURITY_BATCH_RID 字串值： S-1-5-3	使用批次佇列設備登入的使用者。 這是當進程記錄為批次作業時，新增至進程的令牌中的群組標識碼。 對應的登入類型LOGON32_LOGON_BATCH。
SECURITY_INTERACTIVE_RID 字串值： S-1-5-4	登入進行互動式作業的使用者。 這是在以互動方式登入時，新增至進程令牌的群組標識碼。 對應的登入類型LOGON32_LOGON_INTERACTIVE。
SECURITY_LOGON_IDS_RID 字串值： S-1-5-5-*X*-*Y*	登入工作階段。 這可用來確保只有 指定登入會話中的進程 可以存取該會話的視窗月台物件。 這些 SID 的 X 和 Y 值對於每個登入工作階段而言都不同。 SECURITY_LOGON_IDS_RID_COUNT值是此標識碼中 RID 的數目（5-X- Y）。
SECURITY_SERVICE_RID 字串值： S-1-5-6	授權以服務身分登入的帳戶。 這是當進程記錄為服務時，新增至進程的令牌中的群組標識碼。 對應的登入類型LOGON32_LOGON_SERVICE。
SECURITY_ANONYMOUS_LOGON_RID 字串值： S-1-5-7	匿名登入或 Null 會話登入。
SECURITY_PROXY_RID 字串值： S-1-5-8	代理。
SECURITY_ENTERPRISE_CONTROLLERS_RID 字串值： S-1-5-9	企業控制器。
SECURITY_PRINCIPAL_SELF_RID 字串值： S-1-5-10	PRINCIPAL_SELF安全性識別碼可用於使用者或群組物件的 ACL 中。 在存取檢查期間，系統會以 物件的 SID 取代 SID。 PRINCIPAL_SELF SID 適用於指定適用於繼承 ACE 之使用者或群組物件的可繼承 ACE。 它是在架構的預設 安全性描述元 中，表示所建立物件的 SID 的唯一方式。
SECURITY_AUTHENTICATED_USER_RID 字串值： S-1-5-11	已驗證的使用者。
SECURITY_RESTRICTED_CODE_RID 字串值： S-1-5-12	受限制的程序代碼。
SECURITY_TERMINAL_SERVER_RID 字串值： S-1-5-13	終端機服務。 自動新增至登入終端伺服器之用戶的安全性令牌。
SECURITY_LOCAL_SYSTEM_RID 字串值： S-1-5-18	操作系統所使用的特殊帳戶。
SECURITY_NT_NON_UNIQUE 字串值： S-1-5-21	SIDS 不是唯一的。
SECURITY_BUILTIN_DOMAIN_RID 字串值： S-1-5-32	內建系統網域。
SECURITY_WRITE_RESTRICTED_CODE_RID 字串值： S-1-5-33	撰寫受限制的程序代碼。

下列 RID 與每個網域相對。

RID	識別
DOMAIN_ALIAS_RID_CERTSVC_DCOM_ACCESS_GROUP 值：0x0000023E	使用分散式元件物件模型 （DCOM） 連線到證書頒發機構單位的使用者群組。
DOMAIN_USER_RID_ADMIN 值：0x000001F4	網域中的系統管理使用者帳戶。
DOMAIN_USER_RID_GUEST 值：0x000001F5	網域中的 guest-user 帳戶。 沒有帳戶的使用者可以自動登入此帳戶。
DOMAIN_GROUP_RID_ADMINS 值：0x00000200	網域系統管理員的群組。 此帳戶只存在於執行伺服器作業系統的系統上。
DOMAIN_GROUP_RID_USERS 值：0x00000201	包含網域中所有使用者帳戶的群組。 所有使用者都會自動新增至此群組。
DOMAIN_GROUP_RID_GUESTS 值：0x00000202	網域中的來賓群組帳戶。
DOMAIN_GROUP_RID_COMPUTERS 值：0x00000203	網域計算機的群組。 網域中的所有電腦都是此群組的成員。
DOMAIN_GROUP_RID_CONTROLLERS 值：0x00000204	域控制器的群組。 網域中的所有DC都是此群組的成員。
DOMAIN_GROUP_RID_CERT_ADMINS 值：0x00000205	憑證發行者的群組。 執行憑證服務的計算機是此群組的成員。
DOMAIN_GROUP_RID_ENTERPRISE_READONLY_DOMAIN_CONTROLLERS 值：0x000001F2	企業只讀域控制器群組。
DOMAIN_GROUP_RID_SCHEMA_ADMINS 值：0x00000206	架構系統管理員的群組。 此群組的成員可以修改 Active Directory 結構描述。
DOMAIN_GROUP_RID_ENTERPRISE_ADMINS 值：0x00000207	企業系統管理員群組。 此群組的成員具有 Active Directory 樹系中所有網域的完整存取權。 企業系統管理員會負責樹系層級作業，例如新增或移除新的網域。
DOMAIN_GROUP_RID_POLICY_ADMINS 值：0x00000208	原則管理員的群組。
DOMAIN_GROUP_RID_READONLY_CONTROLLERS 值：0x00000209	只讀域控制器群組
DOMAIN_GROUP_RID_CLONEABLE_CONTROLLERS 值：0x0000020A	可複製域控制器的群組。
DOMAIN_GROUP_RID_CDC_RESERVED 值：0x0000020C	保留的 CDC 群組。
DOMAIN_GROUP_RID_PROTECTED_USERS 值：0x0000020D	受保護的使用者群組。
DOMAIN_GROUP_RID_KEY_ADMINS 值：0x0000020E	金鑰管理員群組。
DOMAIN_GROUP_RID_ENTERPRISE_KEY_ADMINS 值：0x0000020F	企業金鑰管理員群組。

下列 RID 可用來指定強制完整性層級。

RID	值	識別
SECURITY_MANDATORY_UNTRUSTED_RID	0x00000000	可信。
SECURITY_MANDATORY_LOW_RID	0x00001000	完整性低。
SECURITY_MANDATORY_MEDIUM_RID	0x00002000	中完整性。
SECURITY_MANDATORY_MEDIUM_PLUS_RID	SECURITY_MANDATORY_MEDIUM_RID + 0x100	中高完整性。
SECURITY_MANDATORY_HIGH_RID	0X00003000	高完整性。
SECURITY_MANDATORY_SYSTEM_RID	0x00004000	系統完整性。
SECURITY_MANDATORY_PROTECTED_PROCESS_RID	0x00005000	受保護的進程。

下表提供網域相對 RID 的範例，可用來形成本機群組的已知 SID（別名）。 如需本機和全域群組的詳細資訊，請參閱 本地組函 式和 群組函式。

RID	識別
DOMAIN_ALIAS_RID_ADMINS 值：0x00000220 字串值： S-1-5-32-544	用於管理網域的本地組。
DOMAIN_ALIAS_RID_USERS 值：0x00000221 字串值： S-1-5-32-545	表示網域中所有使用者的本地組。
DOMAIN_ALIAS_RID_GUESTS 值：0x00000222 字串值： S-1-5-32-546	表示網域來賓的本地組。
DOMAIN_ALIAS_RID_POWER_USERS 值：0x00000223 字串值： S-1-5-32-547	本機群組，用來代表預期將系統視為其個人計算機的使用者或一組使用者，而不是作為多位使用者的工作站。
DOMAIN_ALIAS_RID_ACCOUNT_OPS 值：0x00000224 字串值： S-1-5-32-548	只存在於執行伺服器作業系統之系統上的本地組。 此本地組允許控制非系統管理帳戶。
DOMAIN_ALIAS_RID_SYSTEM_OPS 值：0x00000225 字串值： S-1-5-32-549	只存在於執行伺服器作業系統之系統上的本地組。 此本地組會執行系統管理功能，不包括安全性功能。 它會建立網路共用、控制印表機、解除鎖定工作站，以及執行其他作業。
DOMAIN_ALIAS_RID_PRINT_OPS 值：0x00000226 字串值： S-1-5-32-550	只存在於執行伺服器作業系統之系統上的本地組。 此本地組會控制印表機和列印佇列。
DOMAIN_ALIAS_RID_BACKUP_OPS 值：0x00000227 字串值： S-1-5-32-551	用來控制檔備份和還原許可權指派的本地組。
DOMAIN_ALIAS_RID_REPLICATOR 值：0x00000228 字串值： S-1-5-32-552	負責將安全性資料庫從主要域控制器複製到備份域控制器的本地組。 只有系統能使用這些帳戶。
DOMAIN_ALIAS_RID_RAS_SERVERS 值：0x00000229 字串值： S-1-5-32-553	表示 RAS 和 IAS 伺服器的本地組。 此群組允許存取使用者對象的各種屬性。
DOMAIN_ALIAS_RID_PREW2KCOMPACCESS 值：0x0000022A 字串值： S-1-5-32-554	只存在於執行 Windows 2000 Server 的系統上的本地組。 如需詳細資訊，請參閱 允許匿名存取。
DOMAIN_ALIAS_RID_REMOTE_DESKTOP_USERS 值：0x0000022B 字串值： S-1-5-32-555	代表所有遠端桌面使用者的本地組。
DOMAIN_ALIAS_RID_NETWORK_CONFIGURATION_OPS 值：0x0000022C 字串值： S-1-5-32-556	表示網路組態的本地組。
DOMAIN_ALIAS_RID_INCOMING_FOREST_TRUST_BUILDERS 值：0x0000022D 字串值： S-1-5-32-557	代表任何樹系信任使用者的本地組。
DOMAIN_ALIAS_RID_MONITORING_USERS 值：0x0000022E 字串值： S-1-5-32-558	表示受監視之所有使用者的本地組。
DOMAIN_ALIAS_RID_LOGGING_USERS 值：0x0000022F 字串值： S-1-5-32-559	負責記錄使用者的本地組。
DOMAIN_ALIAS_RID_AUTHORIZATIONACCESS 值：0x00000230 字串值： S-1-5-32-560	代表所有授權存取權的本地組。
DOMAIN_ALIAS_RID_TS_LICENSE_SERVERS 值：0x00000231 字串值： S-1-5-32-561	本機群組，只存在於執行伺服器操作系統的系統上，允許終端服務和遠端訪問。
DOMAIN_ALIAS_RID_DCOM_USERS 值：0x00000232 字串值： S-1-5-32-562	本地組，表示可以使用分散式元件物件模型 （DCOM） 的使用者。
DOMAIN_ALIAS_RID_IUSERS 值：0X00000238 字串值： S-1-5-32-568	代表因特網使用者的本地組。
DOMAIN_ALIAS_RID_CRYPTO_OPERATORS 值：0x00000239 字串值： S-1-5-32-569	表示密碼編譯運算符存取權的本地組。
DOMAIN_ALIAS_RID_CACHEABLE_PRINCIPALS_GROUP 值：0x0000023B 字串值： S-1-5-32-571	表示可快取之主體的本地組。
DOMAIN_ALIAS_RID_NON_CACHEABLE_PRINCIPALS_GROUP 值：0x0000023C 字串值： S-1-5-32-572	表示無法快取之主體的本地組。
DOMAIN_ALIAS_RID_EVENT_LOG_READERS_GROUP 值：0x0000023D 字串值： S-1-5-32-573	表示事件記錄讀取器的本地組。
DOMAIN_ALIAS_RID_CERTSVC_DCOM_ACCESS_GROUP 值：0x0000023E 字串值： S-1-5-32-574	使用分散式元件物件模型 （DCOM） 連線到證書頒發機構單位的用戶本地組。
DOMAIN_ALIAS_RID_RDS_REMOTE_ACCESS_SERVERS 值：0x0000023F 字串值： S-1-5-32-575	表示 RDS 遠端存取伺服器的本地組。
DOMAIN_ALIAS_RID_RDS_ENDPOINT_SERVERS 值：0x00000240 字串值： S-1-5-32-576	表示端點伺服器的本地組。
DOMAIN_ALIAS_RID_RDS_MANAGEMENT_SERVERS 值：0x00000241 字串值： S-1-5-32-577	表示管理伺服器的本地組。
DOMAIN_ALIAS_RID_HYPER_V_ADMINS 值：0x00000242 字串值： S-1-5-32-578	代表 hyper-v 系統管理員的本地組。
DOMAIN_ALIAS_RID_ACCESS_CONTROL_ASSISTANCE_OPS 值：0x00000243 字串值： S-1-5-32-579	表示訪問控制協助 OPS 的本地組。
DOMAIN_ALIAS_RID_REMOTE_MANAGEMENT_USERS 值：0x00000244 字串值： S-1-5-32-580	代表遠端管理使用者的本地組。
DOMAIN_ALIAS_RID_DEFAULT_ACCOUNT 值：0x00000245 字串值： S-1-5-32-581	表示預設帳戶的本地組。
DOMAIN_ALIAS_RID_STORAGE_REPLICA_ADMINS 值：0x00000246 字串值： S-1-5-32-582	表示記憶體複本管理員的本地組。
DOMAIN_ALIAS_RID_DEVICE_OWNERS 值：0x00000247 字串值： S-1-5-32-583	代表的本地組可以針對裝置擁有者進行預期的設定。

WELL_KNOWN_SID_TYPE列舉會定義常用的 SID 清單。 此外，安全性描述元定義語言 （SDDL） 會使用 SID 字串來參考字串格式的已知 SID。