Berechtigungskonstanten (Autorisierung)
Berechtigungen bestimmen den Typ der Systemvorgänge, die ein Benutzerkonto ausführen können. Ein*e Administrator*in weist Benutzer- und Gruppenkonten Berechtigungen zu. Zu den Berechtigungen der einzelnen Benutzer*innen gehören die, die jeweils ihnen selbst und ihrer Gruppe gewährt wurden.
Die Funktionen, die die Berechtigungen in einem Zugriffstoken abrufen und anpassen, verwenden den Typ lokal eindeutiger Bezeichner (Locally Unique Identifier, LUID), um Berechtigungen zu identifizieren. Verwenden Sie die Funktion LookupPrivilegeValue, um die LUID auf dem lokalen System zu ermitteln, die einer Berechtigungskonstante entspricht. Verwenden Sie die Funktion LookupPrivilegeName, um eine LUID in ihre entsprechende Zeichenfolgenkonstante zu konvertieren.
Das Betriebssystem stellt eine Berechtigung dar, indem es die Zeichenfolge verwendet, die in der Spalte „Beschreibung“ der folgenden Tabelle hinter „Benutzerrecht“ steht. Das Betriebssystem zeigt die Zeichenfolgen der Benutzerrechte in der Spalte Richtlinie des Knotens Benutzerrechtezuweisung des MMC-Snap-Ins (Microsoft Management Console) der lokalen Sicherheitseinstellungen an.
Beispiel
BOOL EnablePrivilege()
{
LUID PrivilegeRequired ;
BOOL bRes = FALSE;
bRes = LookupPrivilegeValue(NULL, SE_DEBUG_NAME, &PrivilegeRequired);
// ...
return bRes;
}
Beispiel aus Klassische Windows-Beispiele auf GitHub.
Konstanten
| Konstante/Wert | Beschreibung |
|---|---|
|
Erforderlich, um das primäre Token eines Prozesses zuzuweisen Benutzerrecht: Ersetzen eines Tokens auf Prozessebene |
|
Erforderlich, um Überwachungsprotokolleinträgen zu generieren. Gewähren Sie diese Berechtigungen, um Server zu schützen. Benutzerrecht: Generieren von Sicherheitsüberwachungen |
|
Erforderlich, um Sicherungsvorgänge auszuführen. Durch diese Berechtigung gewährt das System die komplette Lesezugriffssteuerung für jede Datei, unabhängig von der Zugriffssteuerungsliste (Access Control List, ACL), die für die Datei angegeben ist. Jede andere Zugriffsanforderung als „Lesen“ wird weiterhin mit der ACL ausgewertet. Diese Berechtigung ist für die Funktionen RegSaveKey und RegSaveKeyEx erforderlich. Die folgenden Zugriffsrechte werden für Benutzer*innen mit dieser Berechtigung gewährt:
Wenn sich die Datei auf einem Wechseldatenträger befindet und „Überwachen von Wechselmedien“ aktiviert ist, muss SE_SECURITY_NAME über ACCESS_SYSTEM_SECURITY verfügen. |
|
Erforderlich, um Benachrichtigungen über Änderungen an Dateien oder Verzeichnissen zu erhalten. Durch diese Berechtigung überspringt das System zudem alle Durchlaufzugriffsüberprüfungen. Sie ist standardmäßig für alle Benutzer*innen aktiviert. Benutzerrecht: Umgehen von Durchlaufüberprüfungen |
|
Erforderlich, um benannte Dateizuordnungsobjekte im globalen Namespace während TD-Sitzungen zu erstellen. Diese Berechtigung ist standardmäßig für Administrator*innen, Dienste und das lokale Systemkonto aktiviert. Benutzerrecht: Erstellen globaler Objekte |
|
Erforderlich, um eine Auslagerungsdatei zu erstellen Benutzerrecht: Erstellen einer Auslagerungsdatei |
|
Erforderlich, um ein permanentes Objekt zu erstellen Benutzerrecht: Erstellen dauerhaft freigegebener Objekte |
|
Erforderlich, um eine symbolische Verknüpfung zu erstellen Benutzerrecht: Erstellen symbolischer Verknüpfungen |
|
Erforderlich, um ein primäres Token zu erstellen. Benutzerrecht: Erstellen eines Tokenobjekts Sie können diese Berechtigung einem Benutzerkonto mit der Richtlinie „Erstellen eines Tokenobjekts“ nicht hinzufügen. Darüber hinaus können Sie diese Berechtigung mithilfe von Windows-APIs nicht einem eigenen Prozess hinzufügen. Windows Server 2003 und Windows XP SP1 und früher: Windows-APIs können diese Berechtigung einem eigenen Prozess hinzufügen. |
|
Erforderlich zum Debuggen und Anpassen des Arbeitsspeichers eines Prozesses, der sich im Besitz eines anderen Kontos befindet. Benutzerrecht: Debuggen von Programmen |
|
Erforderlich, um ein Identitätswechseltoken für andere Benutzer*innen in derselben Sitzung abzurufen Benutzerrecht: Annehmen der Identität anderer Benutzer*innen |
|
Erforderlich, um Benutzer- und Computerkonten für die Delegierung als vertrauenswürdig zu kennzeichnen Benutzerrecht: Ermöglichen, dass Computer- und Benutzerkonten für die Delegierung vertraut wird |
|
Erforderlich für das Annehmen einer Identität Benutzerrecht: Annehmen der Identität eines Clients nach der Authentifizierung |
|
Erforderlich, um die Basispriorität eines Prozesses zu erhöhen Benutzerrecht: Anheben der Planungspriorität |
|
Erforderlich, um das einem Prozess zugewiesene Kontingent zu erhöhen Benutzerrecht: Anpassen der Speicherkontingente für einen Prozess |
|
Erforderlich, um mehr Arbeitsspeicher für Anwendungen zuzuweisen, die im Benutzerkontext ausgeführt werden Benutzerrecht: Erhöhen eines Prozessarbeitssatzes |
|
Erforderlich zum Laden oder Entladen eines Gerätetreibers. Benutzerrecht: Laden und Entladen von Gerätetreibern |
|
Erforderlich, um physische Seiten im Arbeitsspeicher zu sperren Benutzerrecht: Sperren von Seiten im Arbeitsspeicher |
|
Erforderlich, um ein Computerkonto zu erstellen Benutzerrecht: Hinzufügen von Arbeitsstationen zur Domäne |
|
Erforderlich, um Berechtigungen für die Volumeverwaltung zu aktivieren Benutzerrecht: Durchführen von Volumenwartungsaufgaben |
|
Erforderlich, um Profilerstellungsinformationen für einen einzelnen Prozess zu sammeln Benutzerrecht: Profilen eines einzelnen Prozesses |
|
Erforderlich, um die obligatorische Integritätsebene eines Objekts zu ändern Benutzerrecht: Ändern einer Objektbezeichnung |
|
Erforderlich, um ein System mithilfe einer Netzwerkanforderung herunterzufahren Benutzerrecht: Erzwingen des Herunterfahrens von einem Remotesystem |
|
Erforderlich, um Wiederherstellungsvorgänge auszuführen. Durch diese Berechtigung gewährt das System die komplette Schreibzugriffssteuerung für jede Datei, unabhängig von der ACL, die für die Datei angegeben ist. Jede andere Zugriffsanforderung als „Schreiben“ wird weiterhin mit der ACL ausgewertet. Darüber hinaus können Sie mit diesen Berechtigungen eine beliebige gültige Benutzer- oder Gruppen-SID als Besitzer einer Datei festlegen. Diese Berechtigung ist für die RegLoadKey-Funktion erforderlich. Die folgenden Zugriffsrechte werden für Benutzer*innen mit dieser Berechtigung gewährt:
Wenn sich die Datei auf einem Wechseldatenträger befindet und „Überwachen von Wechselmedien“ aktiviert ist, muss SE_SECURITY_NAME über ACCESS_SYSTEM_SECURITY verfügen. |
|
Erforderlich, um eine Reihe sicherheitsbezogener Funktionen wie das Steuern und Anzeigen von Überwachungsmeldungen auszuführen. Benutzer*innen mit dieser Berechtigung werden als Sicherheitsoperator*in identifiziert. Benutzerrecht: Verwalten von Überwachungs- und Sicherheitsprotokollen |
|
Erforderlich, um ein lokales System herunterzufahren Benutzerrecht: Herunterfahren des Systems |
|
Erforderlich, damit ein Domänencontroller die Verzeichnissynchronisierungsdienste des Lightweight Directory Access-Protokolls verwenden kann. Benutzer*innen mit dieser Berechtigung können alle Objekte und Eigenschaften im Verzeichnis unabhängig von ihrem Schutz lesen. Standardmäßig wird sie den Administratorkonten und LocalSystem-Konten auf Domänencontrollern zugewiesen. Benutzerrecht: Synchronisieren von Verzeichnisdienstdaten |
|
Erforderlich, um den nichtvolatilen RAM von Systemen zu ändern, die diesen Speichertyp zum Speichern von Konfigurationsinformationen verwenden Benutzerrecht: Ändern von Firmwareumgebungswerten |
|
Erforderlich, um Profilerstellungsinformationen für das gesamte System zu sammeln Benutzerrecht: Profilen der Systemleistung |
|
Erforderlich, um die Systemzeit zu ändern Benutzerrecht: Ändern der Systemzeit |
|
Erforderlich, um das Eigentum über ein Objekt ohne freigegebenen Zugriff zu übernehmen. Durch diese Berechtigung kann der Besitzerwert lediglich auf die Werte festgelegt werden, die die Benutzer*innen mit dieser Berechtigung legitim als Besitzer*in eines Objekts zuweisen können. Benutzerrecht: Übernehmen des Eigentums über Dateien oder andere Objekte |
|
Benutzer*innen mit dieser Berechtigung werden als Teil der vertrauenswürdigen Computerbasis identifiziert. Einigen vertrauenswürdigen geschützten Subsystemen wird diese Berechtigung gewährt. Benutzerrecht: Handeln als Teil des Betriebssystems |
|
Erforderlich, um die Zeitzone anzupassen, die der internen Uhr des Computers zugeordnet ist Benutzerrecht: Ändern der Zeitzone |
|
Erforderlich für den Zugriff auf die Anmeldeinformationsverwaltung als vertrauenswürdiger Aufrufer Benutzerrecht: Zugreifen auf die Anmeldeinformationsverwaltung als vertrauenswürdiger Aufrufer |
|
Erforderlich, um einen Laptop auszudocken Benutzerrecht: Entfernen des Computers aus der Dockingstation |
|
Erforderlich, um unerwünschte Eingaben aus einem Terminal-Gerät zu lesen Benutzerrecht: Nicht verfügbar |
Hinweise
Berechtigungskonstanten werden als Zeichenfolgen in Winnt.h definiert. Beispielsweise wird die SE_AUDIT_NAME-Konstante als „SeAuditPrivilege“ definiert.
Anforderungen
| Anforderung | Wert |
|---|---|
| Unterstützte Mindestversion (Client) |
Windows XP [nur Desktop-Apps] |
| Unterstützte Mindestversion (Server) |
Windows Server 2003 [nur Desktop-Apps] |
| Header |
|