Dela via

Särskilda identitetsgrupper

Lär dig mer om windows server-särskilda identitetsgrupper (kallas ibland säkerhetsgrupper) som används för Windows-åtkomstkontroll.

Vad är en särskild identitetsgrupp?

Särskilda identitetsgrupper liknar de Active Directory-säkerhetsgrupper som visas i Active Directory-användare och BuiltIn-containrar. Särskilda identitetsgrupper kan vara ett effektivt sätt att tilldela åtkomst till resurser i nätverket. Genom att använda särskilda identitetsgrupper kan du:

  • Tilldela användarrättigheter till säkerhetsgrupper i Active Directory.

  • Tilldela behörigheter till säkerhetsgrupper för åtkomst till resurser.

Så här fungerar särskilda identitetsgrupper i Windows Server

Om en server kör någon av versionerna av Windows Server-operativsystemet som visas i Gäller för i början av den här artikeln har servern flera särskilda identitetsgrupper. Dessa särskilda identitetsgrupper har inte specifika medlemskap som du kan ändra, men de kan representera olika användare vid olika tidpunkter beroende på omständigheterna.

Även om du kan tilldela rättigheter och behörigheter för specifika resurser till en särskild identitetsgrupp kan du inte visa eller ändra medlemskap i en särskild identitetsgrupp. Gruppomfattningar gäller inte för särskilda identitetsgrupper. Användare tilldelas automatiskt till särskilda identitetsgrupper när de loggar in eller får åtkomst till en specifik resurs.

Information om Active Directory-säkerhetsgrupper och gruppomfattningar finns i Active Directory-säkerhetsgrupper.

Standardspecialidentitetsgrupper

Standardspecialidentitetsgrupper i Windows Server beskrivs i följande lista:

Anonyminloggning

Alla användare som kommer åt systemet via en anonym inloggning har identiteten Anonym inloggning. Den här identiteten ger anonym åtkomst till resurser, till exempel till en webbsida som publiceras på en företagsserver. Gruppen Anonym inloggning är inte medlem i gruppen Alla som standard.

Attribut Värde
Välkänd SID/RID S-1-5-7
Objektklass Utländsk säkerhetsprincip
Standardplats i Active Directory CN=WellKnown Säkerhetsprincipaler, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Ingen

Attesterad nyckelegenskap

En säkerhetsidentifierare (SID) som innebär att nyckelförtroendeobjektet hade attesteringsegenskapen.

Attribut Värde
Välkänd SID/RID S-1-18-6
Objektklass Externt säkerhetsobjekt
Standardplats i Active Directory CN=WellKnown säkerhetsprinciper, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Ingen

Autentiserade användare

Alla användare som kommer åt systemet via en inloggningsprocess har identiteten Autentiserade användare. Den här identiteten ger åtkomst till delade resurser i domänen, till exempel filer i en delad mapp som ska vara tillgängliga för alla arbetare i organisationen. Medlemskapet styrs av operativsystemet.

Attribut Värde
Välkänd SID/RID S-1-5-11
Objektklass Utländsk säkerhetsaktör
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Komma åt den här datorn från nätverket: SeNetworkLogonRight

Lägg till arbetsstationer i domänen: SeMachineAccountPrivilege

Kringgå kontroll för genomsökning: SeChangeNotifyPrivilege

Hävdad identitet av autentiseringsmyndighet

Ett SID som innebär att klientens identitet intygas av en autentiseringsmyndighet baserat på bevis för innehav av klientens autentiseringsuppgifter.

Attribut Värde
Välkänd SID/RID S-1-18-1
Objektklass Extern säkerhetsprincip
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Ingen

Omgång

Alla användare eller processer som har åtkomst till systemet som ett batchjobb eller via batchkön har Batch-identiteten. Med den här identiteten kan batchjobb köra schemalagda aktiviteter, till exempel ett rensningsjobb per natt som tar bort temporära filer. Medlemskapet styrs av operativsystemet.

Attribut Värde
Välkänd SID/RID S-1-5-3
Objektklass Utländsk säkerhetsansvarig
Standardplats i Active Directory CN=Välkända säkerhetsprincipaler, CN=Konfiguration, DC=<forestRootDomain>
Standardanvändarrättigheter inget

Inloggning på konsol

En grupp som innehåller användare som är inloggade på den fysiska konsolen. Detta SID kan användas för att implementera säkerhetsprinciper som beviljar olika rättigheter baserat på om en användare har beviljats fysisk åtkomst till konsolen.

Attribut Värde
Välkänd SID/RID S-1-2-1
Objektklass Utländsk säkerhetshuvudman
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Ingen

Skapargrupp

Den person som skapade en fil eller katalog är medlem i den här särskilda identitetsgruppen. Windows Server-operativsystemet använder den här identiteten för att automatiskt bevilja åtkomstbehörighet till skaparen av en fil eller katalog.

Ett platshållar-SID skapas i en ärvbar åtkomstkontrollpost (ACE). När ACE ärvs ersätter systemet detta SID med SID för den primära gruppen för objektets aktuella ägare. Den primära gruppen används endast av POSIX-undersystemet.

Attribut Värde
Välkänd SID/RID S-1-3-1
Objektklass Utländsk säkerhetsaktör
Standardplats i Active Directory CN=Välkända Säkerhetsprinciper, CN=Konfiguration, DC=<forestRootDomain>
Standardanvändarrättigheter inget

Skaparens ägare

Den person som skapade en fil eller katalog är medlem i den här särskilda identitetsgruppen. Windows Server-operativsystemet använder den här identiteten för att automatiskt bevilja åtkomstbehörighet till skaparen av en fil eller katalog. Ett platshållar-SID skapas i ett ärvbart ACE. När ACE ärvs ersätter systemet detta SID med SID för objektets aktuella ägare.

Attribut Värde
Välkänd SID/RID S-1-3-0
Objektklass Utländsk säkerhetsaktör
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter inget

Uppringningsanslutning

Alla användare som ansluter till systemet via en uppringningsanslutning har Dialup-identitet. Den här identiteten skiljer användare med uppringd anslutning från andra typer av autentiserade användare.

Attribut Värde
Välkänd SID/RID S-1-5-1
Objektklass Utländsk säkerhetsprincip
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter inget

Sammanfattad autentisering

Attribut Värde
Välkänd SID/RID S-1-5-64-21
Objektklass Extern säkerhetsprincip
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Konfiguration, DC=<forestRootDomain>
Standardanvändarrättigheter inget

Företagsdomänkontrollanter

Den här gruppen innehåller alla domänkontrollanter i en Active Directory-skog. Domänkontrollanter med företagsomfattande roller och ansvarsområden har företagsdomänkontrollanternas identitet. Med den här identiteten kan domänkontrollanter utföra vissa uppgifter i företaget med hjälp av transitiva förtroenden. Medlemskapet styrs av operativsystemet.

Attribut Värde
Välkänd SID/RID S-1-5-9
Objektklass Utländsk säkerhetsaktör
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Komma åt den här datorn från nätverket: SeNetworkLogonRight

Tillåt inloggning lokalt: SeInteractiveLogonRight

Skrivskyddade domänkontrollanter för företag

Den här gruppen innehåller alla skrivskyddade domänkontrollanter (RODC) i en Active Directory-skog. En företags-RODC kan replikera en större delmängd av Active Directory-databasen, inklusive den globala katalogen och skrivskyddade domänpartitioner för alla domäner i skogen. Medlemskapet styrs av operativsystemet.

Attribut Värde
Välkänd SID/RID S-1-5-21-<RootDomain>-498
Objektklass Grupp
Standardplats i Active Directory CN=Users, DC=<forestRootDomain>
Standardanvändarrättigheter Ingen

Alla

Alla interaktiva, nätverksanslutna, uppringda och autentiserade användare är medlemmar i Alla-gruppen. Den här särskilda identitetsgruppen ger bred åtkomst till systemresurser. När en användare loggar in på nätverket läggs användaren automatiskt till i gruppen Alla. Medlemskapet styrs av operativsystemet.

På datorer som kör Windows 2000 och tidigare inkluderade gruppen Alla gruppen Anonym inloggning som standardmedlem. Från och med Windows Server 2003 innehåller gruppen Alla endast autentiserade användare och gäster. Gruppen innehåller inte längre anonym inloggning som standard. Om du vill ändra gruppinställningen Alla så att den inkluderar gruppen Anonym inloggning går du till nyckeln Computer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa i Registereditorn och anger värdet för everyoneincludesanonymous DWORD till 1.

Attribut Värde
Välkänd SID/RID S-1-1-0
Objektklass Utländsk säkerhetsprincip
Standardplats i Active Directory CN=Välkända säkerhetsprinciper, CN=Konfiguration, DC=<forestRootDomain>
Standardanvändarrättigheter Komma åt den här datorn från nätverket: SeNetworkLogonRight

Kringgå behörighetskontroll: SeChangeNotifyPrivilege

Ny identitet för offentlig nyckel

Ett SID som innebär att klientens identitet hävdas av en autentiseringsmyndighet baserat på bevis på nuvarande innehav av klientens offentliga nyckelautentiseringsuppgifter.

Attribut Värde
Välkänd SID/RID S-1-18-3
Objektklass Utländsk säkerhetsprincipal
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Ingen

Interaktivt

Alla användare som är inloggade på det lokala systemet har den interaktiva identiteten. Den här identiteten tillåter endast lokala användare att komma åt en resurs. När en användare kommer åt en specifik resurs på den dator som användaren för närvarande är inloggad på läggs användaren automatiskt till i den interaktiva gruppen. Medlemskapet styrs av operativsystemet.

Attribut Värde
Välkänd SID/RID S-1-5-4
Objektklass Utländsk säkerhetsprincipal
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Ingen

IUSR

Internet Information Services (IIS) använder det här kontot som standard när anonym autentisering är aktiverat.

Attribut Värde
Välkänd SID/RID S-1-5-17
Objektklass Utländsk säkerhetsprincip
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Ingen

Nyckelförtroende

Ett SID som innebär att klientens identitet baseras på bevis på innehav av offentliga nyckelautentiseringsuppgifter med hjälp av nyckelförtroendeobjektet.

Attribut Värde
Välkänd SID/RID S-1-18-4
Objektklass Utländsk säkerhetsprincip
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Ingen

Lokal tjänst

Kontot för lokal tjänst liknar det autentiserade användarkontot. Medlemmar i det lokala tjänstkontot har samma åtkomstnivå till resurser och objekt som medlemmar i gruppen Användare. Den här begränsade åtkomsten skyddar systemet om enskilda tjänster eller processer komprometteras. Tjänster som körs som lokalt tjänstkonto får åtkomst till nätverksresurser som en null-session med anonyma autentiseringsuppgifter. Namnet på kontot är NT AUTHORITY\LocalService. Det här kontot har inget lösenord.

Attribut Värde
Välkänd SID/RID S-1-5-19
Objektklass Utländsk säkerhetsprincipal
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Justera minneskvoter för en process: SeIncreaseQuotaPrivilege

Kringgå traverseringskontroll: SeChangeNotifyPrivilege

Ändra systemtiden: SeSystemtimePrivilege

Ändra tidszonen: SeTimeZonePrivilege

Skapa globala objekt: SeCreateGlobalPrivilege

Generera säkerhetsgranskningar: SeAuditPrivilege

Personifiera en klient efter autentisering: SeImpersonatePrivilege

Ersätt en token på processnivå: SeAssignPrimaryTokenPrivilege

LocalSystem

LocalSystem-kontot är ett tjänstkonto som används av operativsystemet. LocalSystem-kontot är ett kraftfullt konto som har fullständig åtkomst till systemet och fungerar som datorn i nätverket. Om en tjänst loggar in på LocalSystem-kontot på en domänkontrollant har tjänsten åtkomst till hela domänen. Vissa tjänster konfigureras som standard för att logga in på LocalSystem-kontot. Ändra inte standardinställningen för tjänsten. Namnet på kontot är LocalSystem. Det här kontot har inget lösenord.

Attribut Värde
Välkänd SID/RID S-1-5-18
Objektklass Extern säkerhetsprincipa
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Ingen

MFA-nyckelattribut

Ett SID som innebär att nyckelförtroendeobjektet hade egenskapen multifaktorautentisering (MFA).

Attribut Värde
Välkänd SID/RID S-1-18-5
Objektklass Extern säkerhetsaktör
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Ingen

Nätverk

Den här gruppen innehåller implicit alla användare som är inloggade via en nätverksanslutning. Alla användare som har åtkomst till systemet via ett nätverk har nätverksidentiteten. Den här identiteten tillåter endast fjärranvändare att komma åt en resurs. När en användare kommer åt en specifik resurs via nätverket läggs användaren automatiskt till i gruppen Nätverk. Medlemskapet styrs av operativsystemet.

Attribut Värde
Välkänd SID/RID S-1-5-2
Objektklass Utländsk säkerhetsansvarig
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Ingen

Nätverkstjänst

Nätverkstjänstkontot liknar det autentiserade användarkontot. Medlemmar i nätverkstjänstkontot har samma åtkomstnivå till resurser och objekt som medlemmar i gruppen Användare. Den här begränsade åtkomsten skyddar systemet om enskilda tjänster eller processer komprometteras. Tjänster som körs som nätverkstjänstkonto får åtkomst till nätverksresurser med hjälp av autentiseringsuppgifterna för datorkontot. Namnet på kontot är NT AUTHORITY\NetworkService. Det här kontot har inget lösenord.

Attribut Värde
Välkänd SID/RID S-1-5-20
Objektklass Utländsk säkerhetsprincipalsubjekt
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Justera minneskvoter för en process: SeIncreaseQuotaPrivilege

Förbigå genomgångskontroll: SeChangeNotifyPrivilege

Skapa globala objekt: SeCreateGlobalPrivilege

Generera säkerhetsgranskningar: SeAuditPrivilege

Personifiera en klient efter autentisering: SeImpersonatePrivilege

Ersätt en token på processnivå: SeAssignPrimaryTokenPrivilege

NTLM-autentisering

Attribut Värde
Välkänd SID/RID S-1-5-64-10
Objektklass Extern säkerhetsprincip
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Ingen

Annan organisation

Den här gruppen innehåller implicit alla användare som är inloggade i systemet via en uppringningsanslutning. Medlemskapet styrs av operativsystemet.

Attribut Värde
Välkänd SID/RID S-1-5-1000
Objektklass Utländsk säkerhetsansvarig
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Ingen

Ägarrättigheter

Gruppen Ägarrättigheter representerar objektets aktuella ägare. När ett ACE som bär detta SID tillämpas på ett objekt ignorerar systemet implicita READ_CONTROL och WRITE_DAC behörigheter för objektägaren.

Attribut Värde
Välkänd SID/RID S-1-3-4
Objektklass Utländsk säkerhetsprincip
Standardplats i Active Directory CN=Välkända Säkerhetsprinciper, CN=Konfiguration, DC=<forestRootDomain>
Standardanvändarrättigheter Ingen

Grundläggande Själv

Den här identiteten är en platshållare i ett ACE för en användare, grupp eller ett datorobjekt i Active Directory. När du beviljar behörigheter till Principal Self beviljar du behörigheter till det säkerhetsobjekt som representeras av objektet. Under en åtkomstkontroll ersätter operativsystemet SID för Principal Self med SID för säkerhetsobjektet som representeras av objektet.

Attribut Värde
Välkänd SID/RID S-1-5-10
Objektklass Utländsk säkerhetsprincipal
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Ingen

Proxy

Identifierar en SECURITY_NT_AUTHORITY-proxy.

Attribut Värde
Välkänd SID/RID S-1-5-8
Objektklass Utländsk säkerhetsaktör
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Ingen

Skrivskyddade domänkontrollanter

Den här gruppen innehåller alla RODC:er i domänen med läsrättigheter till Active Directory-databasen. Förutom kontolösenord innehåller en RODC alla Active Directory-objekt och attribut som en skrivbar domänkontrollant innehåller. Det tillåter distribution av domänkontrollanter när den fysiska säkerheten är knapp eller inte garanterad. RODC:er är explicita medlemmar i den här gruppen.

Attribut Värde
Välkänd SID/RID S-1-5-21-<domän>-521
Objektklass Grupp
Standardplats i Active Directory CN=Users, DC=<rootDomain>
Standardanvändarrättigheter Ingen

Anmärkning

Gruppen Nekad RODC-lösenordsreplikering skapas automatiskt när ett RODC-konto skapas i skogen. Lösenord kan inte replikeras i gruppen Nekad RODC-lösenordsreplikering.

Interaktiv fjärrinloggning

Den här identiteten representerar alla användare som för närvarande är inloggade på en dator med hjälp av en anslutning till Fjärrskrivbordsprotokollet. Den här gruppen är en delmängd av den interaktiva gruppen. Åtkomsttokens som innehåller SID för fjärrinteraktiv inloggning innehåller även det interaktiva SID.

Attribut Värde
Välkänd SID/RID S-1-5-14
Objektklass Utländsk säkerhetsprincip
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Ingen

Begränsad

Användare och datorer med begränsade funktioner har den begränsade identiteten. Den här identitetsgruppen används av en process som körs i en begränsad säkerhetskontext, till exempel att köra ett program med RunAs-tjänsten. När koden körs på säkerhetsnivån Begränsad läggs det begränsade SID till i användarens åtkomsttoken.

Attribut Värde
Välkänd SID/RID S-1-5-12
Objektklass Utländsk säkerhetsprincipal
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Ingen

SChannel-autentisering

Attribut Värde
Välkänd SID/RID S-1-5-64-14
Objektklass Utländsk säkerhetsprincip
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Ingen

Tjänster

Alla tjänster som har åtkomst till systemet har tjänstidentiteten. Den här identitetsgruppen innehåller alla säkerhetsobjekt som är inloggade som en tjänst. Den här identiteten ger åtkomst till processer som Windows Server-tjänster kör. Medlemskapet styrs av operativsystemet.

Attribut Värde
Välkänd SID/RID S-1-5-6
Objektklass Utländsk säkerhetsprincip
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Skapa globala objekt: SeCreateGlobalPrivilege

Personifiera en klient efter autentisering: SeImpersonatePrivilege

Tjänstbaserad identitet

Ett SID som innebär att klientens identitet bekräftas av en tjänst.

Attribut Värde
Välkänd SID/RID S-1-18-2
Objektklass Extern säkerhetsprincipal
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Ingen

Terminal Server-användare

Alla användare som har åtkomst till systemet via Terminal Services har användaridentiteten terminalserver. Med den här identiteten kan användare komma åt Terminal Server-program och utföra andra nödvändiga uppgifter med Terminal Server-tjänster. Medlemskapet styrs av operativsystemet.

Attribut Värde
Välkänd SID/RID S-1-5-13
Objektklass Extern säkerhetsenhet
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Ingen

Den här organisationen

Attribut Värde
Välkänd SID/RID S-1-5-15
Objektklass Utländsk säkerhetsprincip
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Ingen

Fönsterhanterare\Fönsterhanterargrupp

Attribut Värde
Välkänd SID/RID S-1-5-90
Objektklass Utländsk säkerhetsprincipal
Standardplats i Active Directory CN=WellKnown Security Principals, CN=Configuration, DC=<forestRootDomain>
Standardanvändarrättigheter Åtsidosätta åtkomstkontroll: SeChangeNotifyPrivilege

Öka en processarbetsuppsättning: SeIncreaseWorkingSetPrivilege

Se även