Ändern von Berechtigungen in einem Token
Sie können die Berechtigungen in einem primären Token oder einem Identitätswechseltoken auf zwei Arten ändern:
- Aktivieren oder deaktivieren Sie Berechtigungen mithilfe der Funktion AdjustTokenPrivileges .
- Einschränken oder Entfernen von Berechtigungen mithilfe der CreateRestrictedToken-Funktion .
AdjustTokenPrivileges kann dem Token keine Berechtigungen hinzufügen oder entfernen. Es kann nur vorhandene Berechtigungen aktivieren, die derzeit deaktiviert sind, oder vorhandene Berechtigungen deaktivieren, die derzeit aktiviert sind. Beispiele finden Sie unter Aktivieren und Deaktivieren von Berechtigungen in C++.
Informationen zum Zuweisen von Berechtigungen zu einem Benutzerkonto finden Sie unter Zuweisen von Berechtigungen zu einem Konto.
CreateRestrictedToken verfügt über umfangreichere Funktionen wie folgt:
- Entfernen einer Berechtigung. Beachten Sie, dass das Entfernen einer Berechtigung nicht mit dem Deaktivieren einer Berechtigung identisch ist. Nachdem ein Recht aus einem Token entfernt wurde, kann es nicht mehr zurückgesetzt werden.
- Anfügen des Deny-Only-Attributs an SIDs im Token. Dies hat zur Folge, dass bestimmte Gruppen oder Konten nicht mehr zugeordnet werden, z. B. die Löschgruppe Jeder den Zugriff auf eine bestimmte Datei verweigert. Weitere Informationen zum Einschränken von SIDs finden Sie unter SID-Attribute in einem Zugriffstoken.
- Angeben einer Liste einschränkender SIDs im Token. Informationen zum Einschränken von SIDs finden Sie unter Eingeschränkte Token.