structure TOKEN_GROUPS (winnt.h)

Article
08/27/2023

La structure TOKEN_GROUPS contient des informations sur les identificateurs de sécurité de groupe (SID) dans un jeton d’accès.

Syntaxe

typedef struct _TOKEN_GROUPS {
  DWORD              GroupCount;
#if ...
  SID_AND_ATTRIBUTES *Groups[];
#else
  SID_AND_ATTRIBUTES Groups[ANYSIZE_ARRAY];
#endif
} TOKEN_GROUPS, *PTOKEN_GROUPS;

Membres

GroupCount

Spécifie le nombre de groupes dans le jeton d’accès.

Groups[*]

Spécifie un tableau de structures SID_AND_ATTRIBUTES qui contiennent un ensemble de SID et des attributs correspondants.

Les membres Attributs des structures SID_AND_ATTRIBUTES peuvent avoir les valeurs suivantes.

Valeur	Signification
SE_GROUP_ENABLED 0x00000004L	Le SID est activé pour les vérifications d’accès. Lorsque le système effectue une case activée d’accès, il recherche les entrées de contrôle d’accès autorisées et refusées qui s’appliquent au SID. Un SID sans cet attribut est ignoré pendant une case activée d’accès, sauf si l’attribut SE_GROUP_USE_FOR_DENY_ONLY est défini.
SE_GROUP_ENABLED_BY_DEFAULT 0x00000002L	Le SID est activé par défaut.
SE_GROUP_INTEGRITY 0x000000020L	Le SID est un SID d’intégrité obligatoire.
SE_GROUP_INTEGRITY_ENABLED 0x000000040L	Le SID est activé pour les vérifications d’intégrité obligatoires.
SE_GROUP_LOGON_ID 0xC0000000L	Le SID est un SID d’ouverture de session qui identifie la session d’ouverture de session associée à un jeton d’accès.
SE_GROUP_MANDATORY 0x00000001L	Le SID ne peut pas avoir l’attribut SE_GROUP_ENABLED effacé par un appel à la fonction AdjustTokenGroups . Toutefois, vous pouvez utiliser la fonction CreateRestrictedToken pour convertir un SID obligatoire en SID de refus uniquement.
SE_GROUP_OWNER 0x00000008L	Le SID identifie un compte de groupe pour lequel l’utilisateur du jeton est le propriétaire du groupe, ou le SID peut être affecté en tant que propriétaire du jeton ou des objets.
SE_GROUP_RESOURCE 0x20000000L	Le SID identifie un groupe local de domaine.
SE_GROUP_USE_FOR_DENY_ONLY 0x00000010L	Le SID est un SID de refus uniquement dans un jeton restreint. Lorsque le système effectue une case activée d’accès, il recherche les AE refusés d’accès qui s’appliquent au SID ; il ignore les AE d’accès autorisés pour le SID. Si cet attribut est défini, SE_GROUP_ENABLED n’est pas défini et le SID ne peut pas être réactivé.

Groups[ANYSIZE_ARRAY]

Spécifie un tableau de structures SID_AND_ATTRIBUTES qui contiennent un ensemble de SID et des attributs correspondants.

Les membres Attributs des structures SID_AND_ATTRIBUTES peuvent avoir les valeurs suivantes.

Valeur	Signification
SE_GROUP_ENABLED 0x00000004L	Le SID est activé pour les vérifications d’accès. Lorsque le système effectue une case activée d’accès, il recherche les entrées de contrôle d’accès autorisées et refusées qui s’appliquent au SID. Un SID sans cet attribut est ignoré pendant une case activée d’accès, sauf si l’attribut SE_GROUP_USE_FOR_DENY_ONLY est défini.
SE_GROUP_ENABLED_BY_DEFAULT 0x00000002L	Le SID est activé par défaut.
SE_GROUP_INTEGRITY 0x000000020L	Le SID est un SID d’intégrité obligatoire.
SE_GROUP_INTEGRITY_ENABLED 0x000000040L	Le SID est activé pour les vérifications d’intégrité obligatoires.
SE_GROUP_LOGON_ID 0xC0000000L	Le SID est un SID d’ouverture de session qui identifie la session d’ouverture de session associée à un jeton d’accès.
SE_GROUP_MANDATORY 0x00000001L	Le SID ne peut pas avoir l’attribut SE_GROUP_ENABLED effacé par un appel à la fonction AdjustTokenGroups . Toutefois, vous pouvez utiliser la fonction CreateRestrictedToken pour convertir un SID obligatoire en SID de refus uniquement.
SE_GROUP_OWNER 0x00000008L	Le SID identifie un compte de groupe pour lequel l’utilisateur du jeton est le propriétaire du groupe, ou le SID peut être affecté en tant que propriétaire du jeton ou des objets.
SE_GROUP_RESOURCE 0x20000000L	Le SID identifie un groupe local de domaine.
SE_GROUP_USE_FOR_DENY_ONLY 0x00000010L	Le SID est un SID de refus uniquement dans un jeton restreint. Lorsque le système effectue une case activée d’accès, il recherche les AE refusés d’accès qui s’appliquent au SID ; il ignore les AE d’accès autorisés pour le SID. Si cet attribut est défini, SE_GROUP_ENABLED n’est pas défini et le SID ne peut pas être réactivé.

Configuration requise


Client minimal pris en charge	Windows XP [applications de bureau uniquement]
Serveur minimal pris en charge	Windows Server 2003 [applications de bureau uniquement]
En-tête	winnt.h (inclure Windows.h)