![如何在安全策略中指定 SID?](https://linux22.com/image/1422541/%E5%A6%82%E4%BD%95%E5%9C%A8%E5%AE%89%E5%85%A8%E7%AD%96%E7%95%A5%E4%B8%AD%E6%8C%87%E5%AE%9A%20SID%EF%BC%9F.png)
在域控制器上的 Windows Server 2008 R2 上安装 KB2871997 后,您将获得一个新的用户组:“受限用户”,并且这篇文章提到,您将获得两个新的知名 SID:
- 本地帐户– 任何本地帐户都将继承此 SID
- 本地帐户和管理员组成员– 任何属于管理员组成员的本地帐户都将继承此 SID
这MSDN 页面列出了所有众所周知的 SID,同一页面列出了这两个新的 SID(S-1-5-113, 和S-1-5-114)。在 Windows 标头中,包含以下 RID:
#define SECURITY_LOCAL_ACCOUNT_RID (0x00000071L) // 113
#define SECURITY_LOCAL_ACCOUNT_AND_ADMIN_RID (0x00000072L) / 114
我发现了受限用户组的重要性,但不明白如何将这些 SID 置于任何对象的安全性之下 - 从 NTFS 驱动器上的文件/文件夹开始,如何赋予这些(或任何)SID?
我正在进行这项研究,以了解此更新对任何应用程序或服务的任何影响,因为可能对这些应用程序或服务施加了限制。
谢谢重力提供使用的示例icacls
。在摆弄了安全 UI 及其icacls
本身之后,我发现有很多 SID 无法直接用友好名称指定,但将出现在结果中。这意味着在“安全”对话框中,以及icacls
调用时。尝试以下操作(在任何较新的操作系统上):
icacls FolderName /grant:*S-1-18-2:(oi)(ci)(f)
然后执行以下命令:
icacls Folder name
你会看见 '服务声明身份' 在命令输出中,以及在“安全”对话框中。对于新的 SID,当您指定/save
上述命令时,您将看不到它。但是,您将在“安全”对话框中看到它。简而言之,几乎没有不一致之处。
所以,现在,我的问题是:如何在安全策略中指定SID?
答案1
对于文件,可以使用该icacls
工具按SID添加访问条目:
icacls C:\Temp /grant *S-1-5-113:(oi)(ci)(f)
不过,使用全名NT AUTHORITY\Local account
也应该可以。