Identificatori di sicurezzaSecurity identifiers

Si applica aApplies to

  • Windows 10Windows 10
  • Windows Server 2016Windows Server 2016

In questo argomento per i professionisti IT vengono descritti gli identificatori di sicurezza e il relativo funzionamento per quanto riguarda gli account e i gruppi nel sistema operativo Windows.This topic for the IT professional describes security identifiers and how they work in regards to accounts and groups in the Windows operating system.

Che cosa sono gli identificatori di sicurezza?What are security identifiers?

Un identificatore di sicurezza (SID) viene utilizzato per identificare in modo univoco un'entità di sicurezza o un gruppo di sicurezza.A security identifier (SID) is used to uniquely identify a security principal or security group. Le entità di sicurezza possono rappresentare qualsiasi entità che può essere autenticata dal sistema operativo, ad esempio un account utente, un account computer o un thread o processo eseguito nel contesto di sicurezza di un account utente o computer.Security principals can represent any entity that can be authenticated by the operating system, such as a user account, a computer account, or a thread or process that runs in the security context of a user or computer account.

Ogni account, gruppo o processo in esecuzione nel contesto di sicurezza dell'account dispone di un SID univoco emesso da un'autorità, ad esempio un controller di dominio di Windows.Each account or group, or process running in the security context of the account, has a unique SID that is issued by an authority, such as a Windows domain controller. Viene archiviato in un database di sicurezza.It is stored in a security database. Il sistema genera il SID che identifica un account o un gruppo specifico al momento della creazione dell'account o del gruppo.The system generates the SID that identifies a particular account or group at the time the account or group is created. Quando un SID è stato utilizzato come identificatore univoco per un utente o un gruppo, non può mai essere usato di nuovo per identificare un altro utente o gruppo.When a SID has been used as the unique identifier for a user or group, it can never be used again to identify another user or group.

Ogni volta che un utente accede, il sistema crea un token di accesso per tale utente.Each time a user signs in, the system creates an access token for that user. Il token di accesso contiene il SID dell'utente, i diritti utente e i SID per tutti i gruppi a cui appartiene l'utente.The access token contains the user's SID, user rights, and the SIDs for any groups the user belongs to. Questo token fornisce il contesto di sicurezza per le azioni eseguite dall'utente su tale computer.This token provides the security context for whatever actions the user performs on that computer.

Oltre ai SID specifici del dominio creati in modo univoco assegnati a utenti e gruppi specifici, esistono SID noti che identificano i gruppi generici e gli utenti generici.In addition to the uniquely created, domain-specific SIDs that are assigned to specific users and groups, there are well-known SIDs that identify generic groups and generic users. Ad esempio, i SID Everyone e World identificano un gruppo che include tutti gli utenti.For example, the Everyone and World SIDs identify a group that includes all users. I SID noti hanno valori che rimangono costanti in tutti i sistemi operativi.Well-known SIDs have values that remain constant across all operating systems.

I SID sono un blocco predefinito fondamentale del modello di sicurezza di Windows.SIDs are a fundamental building block of the Windows security model. Funzionano con componenti specifici delle tecnologie di autorizzazione e controllo di accesso nell'infrastruttura di sicurezza dei sistemi operativi Windows Server.They work with specific components of the authorization and access control technologies in the security infrastructure of the Windows Server operating systems. In questo modo è possibile proteggere l'accesso alle risorse di rete e garantire un ambiente di elaborazione più sicuro.This helps protect access to network resources and provides a more secure computing environment.

Il contenuto di questo argomento si applica ai computer che eseguono le **** versioni supportate del sistema operativo Windows come indicato nell'elenco Si applica a all'inizio di questo argomento.The content in this topic applies to computers that are running the supported versions of the Windows operating system as designated in the Applies To list at the beginning of this topic.

Funzionamento degli identificatori di sicurezzaHow security identifiers work

Gli utenti fanno riferimento agli account utilizzando il nome dell'account, ma il sistema operativo fa internamente riferimento ad account e processi eseguiti nel contesto di sicurezza dell'account utilizzando i relativi ID di sicurezza (SID).Users refer to accounts by using the account name, but the operating system internally refers to accounts and processes that run in the security context of the account by using their security identifiers (SIDs). Per gli account di dominio, il SID di un'entità di sicurezza viene creato concatenando il SID del dominio con un identificatore relativo (RID) per l'account.For domain accounts, the SID of a security principal is created by concatenating the SID of the domain with a relative identifier (RID) for the account. I SID sono univoci nell'ambito (dominio o locale) e non vengono mai riutilizzati.SIDs are unique within their scope (domain or local), and they are never reused.

Il sistema operativo genera un SID che identifica un account o un gruppo specifico al momento della creazione dell'account o del gruppo.The operating system generates a SID that identifies a particular account or group at the time the account or group is created. Il SID di un account o gruppo locale viene generato dall'autorità di sicurezza locale (LSA) nel computer e viene archiviato con altre informazioni sull'account in un'area sicura del Registro di sistema.The SID for a local account or group is generated by the Local Security Authority (LSA) on the computer, and it is stored with other account information in a secure area of the registry. Il SID di un account di dominio o di un gruppo viene generato dall'autorità di sicurezza del dominio e viene archiviato come attributo dell'oggetto utente o gruppo in Servizi di dominio Active Directory.The SID for a domain account or group is generated by the domain security authority, and it is stored as an attribute of the User or Group object in Active Directory Domain Services.

Per ogni account e gruppo locale, il SID è univoco per il computer in cui è stato creato.For every local account and group, the SID is unique for the computer where it was created. Nessun account o gruppo nel computer condivide mai lo stesso SID.No two accounts or groups on the computer ever share the same SID. Analogamente, per ogni account di dominio e gruppo, il SID è univoco all'interno di un'organizzazione.Likewise, for every domain account and group, the SID is unique within an enterprise. Ciò significa che il SID di un account o gruppo creato in un dominio non corrisponderà mai al SID di un account o di un gruppo creato in qualsiasi altro dominio dell'organizzazione.This means that the SID for an account or group that is created in one domain will never match the SID for an account or group created in any other domain in the enterprise.

I SID rimangono sempre univoci.SIDs always remain unique. Le autorità di sicurezza non emettere lo stesso SID due volte e non riutilizzano mai i SID per gli account eliminati.Security authorities never issue the same SID twice, and they never reuse SIDs for deleted accounts. Ad esempio, se un utente con un account utente in un dominio di Windows lascia il suo lavoro, un amministratore elimina il suo account Active Directory, incluso il SID che identifica l'account.For example, if a user with a user account in a Windows domain leaves her job, an administrator deletes her Active Directory account, including the SID that identifies the account. Se successivamente torna a un altro lavoro nella stessa società, un amministratore crea un nuovo account e il sistema operativo Windows Server genera un nuovo SID.If she later returns to a different job at the same company, an administrator creates a new account, and the Windows Server operating system generates a new SID. Il nuovo SID non corrisponde a quello precedente. pertanto nessuno degli accessi dell'utente dal suo vecchio account viene trasferito al nuovo account.The new SID does not match the old one; so none of the user's access from her old account is transferred to the new account. I suoi due account rappresentano due entità di sicurezza completamente diverse.Her two accounts represent two completely different security principals.

Architettura degli identificatori di sicurezzaSecurity identifier architecture

Un identificatore di sicurezza è una struttura di dati in formato binario contenente un numero variabile di valori.A security identifier is a data structure in binary format that contains a variable number of values. I primi valori della struttura contengono informazioni sulla struttura SID.The first values in the structure contain information about the SID structure. I valori rimanenti sono disposti in una gerarchia (simile a un numero di telefono) e identificano l'autorità emittente del SID (ad esempio, "NT Authority"), il dominio emittente del SID e una determinata entità di sicurezza o gruppo.The remaining values are arranged in a hierarchy (similar to a telephone number), and they identify the SID-issuing authority (for example, “NT Authority”), the SID-issuing domain, and a particular security principal or group. L'immagine seguente illustra la struttura di un SID.The following image illustrates the structure of a SID.

I singoli valori di un SID sono descritti nella tabella seguente.The individual values of a SID are described in the following table.

CommentComment DescrizioneDescription
RevisioneRevision Indica la versione della struttura SID utilizzata in un SID specifico.Indicates the version of the SID structure that is used in a particular SID.
Autorità identificatoreIdentifier authority Identifica il livello più alto di autorità che può rilasciare SID per un particolare tipo di entità di sicurezza.Identifies the highest level of authority that can issue SIDs for a particular type of security principal. Ad esempio, il valore dell'autorità dell'identificatore nel SID per il gruppo Everyone è 1 (Autorità mondiale).For example, the identifier authority value in the SID for the Everyone group is 1 (World Authority). Il valore dell'autorità dell'identificatore nel SID per uno specifico account o gruppo di Windows Server è 5 (NT Authority).The identifier authority value in the SID for a specific Windows Server account or group is 5 (NT Authority).
SottoautoriitàSubauthorities >contiene le informazioni più importanti in un SID, contenute in una serie di uno o più valori di sottoautorità.>Holds the most important information in a SID, which is contained in a series of one or more subauthority values. Tutti i valori fino all'ultimo valore della serie, ma non incluso, identificano collettivamente un dominio in un'organizzazione.All values up to, but not including, the last value in the series collectively identify a domain in an enterprise. Questa parte della serie è denominata identificatore di dominio.This part of the series is called the domain identifier. L'ultimo valore della serie, denominato identificatore relativo (RID), identifica un particolare account o gruppo relativo a un dominio.The last value in the series, which is called the relative identifier (RID), identifies a particular account or group relative to a domain.

I componenti di un SID sono più facili da visualizzare quando i SID vengono convertiti da un formato binario a un formato stringa utilizzando la notazione standard:The components of a SID are easier to visualize when SIDs are converted from a binary to a string format by using standard notation:

S-R-X-Y1-Y2-Yn-1-Yn

In questa notazione, i componenti di un SID sono rappresentati come illustrato nella tabella seguente.In this notation, the components of a SID are represented as shown in the following table.

CommentComment DescrizioneDescription
SS Indica che la stringa è un SIDIndicates that the string is a SID
RR Indica il livello di revisioneIndicates the revision level
XX Indica il valore dell'autorità dell'identificatoreIndicates the identifier authority value
SY Rappresenta una serie di valori di sottoautorità, dove n è il numero di valoriRepresents a series of subauthority values, where n is the number of values

Le informazioni più importanti del SID sono contenute nella serie di valori di sottoautorità.The SID's most important information is contained in the series of subauthority values. La prima parte della serie (-Y1-Y2-Yn-1) è l'identificatore di dominio.The first part of the series (-Y1-Y2-Yn-1) is the domain identifier. Questo elemento del SID diventa significativo in un'azienda con diversi domini, perché l'identificatore di dominio distingue i SID emessi da un dominio dai SID rilasciati da tutti gli altri domini dell'organizzazione.This element of the SID becomes significant in an enterprise with several domains, because the domain identifier differentiates SIDs that are issued by one domain from SIDs that are issued by all other domains in the enterprise. Nessun dominio di un'organizzazione condivide lo stesso identificatore di dominio.No two domains in an enterprise share the same domain identifier.

L'ultimo elemento della serie di valori di sottoautorità (-Yn) è l'identificatore relativo.The last item in the series of subauthority values (-Yn) is the relative identifier. Distingue un account o un gruppo da tutti gli altri account e gruppi nel dominio.It distinguishes one account or group from all other accounts and groups in the domain. Nessun account o gruppo in un dominio condivide lo stesso identificatore relativo.No two accounts or groups in any domain share the same relative identifier.

Ad esempio, il SID per il gruppo Administrators predefinito è rappresentato nella notazione SID standardizzata come la stringa seguente:For example, the SID for the built-in Administrators group is represented in standardized SID notation as the following string:

S-1-5-32-544

Questo SID ha quattro componenti:This SID has four components:

  • Un livello di revisione (1)A revision level (1)

  • Un valore dell'autorità identificatore (5, NT Authority)An identifier authority value (5, NT Authority)

  • Un identificatore di dominio (32, Builtin)A domain identifier (32, Builtin)

  • Identificatore relativo (544, Amministratori)A relative identifier (544, Administrators)

I SID per gli account e i gruppi incorporati hanno sempre lo stesso valore dell'identificatore di dominio: 32.SIDs for built-in accounts and groups always have the same domain identifier value: 32. Questo valore identifica il dominio Builtin, presente in ogni computer che esegue una versione del sistema operativo Windows Server.This value identifies the domain Builtin, which exists on every computer that is running a version of the Windows Server operating system. Non è mai necessario distinguere gli account e i gruppi predefiniti di un computer dagli account e dai gruppi predefiniti di un altro computer perché sono nell'ambito locale.It is never necessary to distinguish one computer's built-in accounts and groups from another computer's built-in accounts and groups because they are local in scope. Sono locali a un singolo computer o, nel caso dei controller di dominio per un dominio di rete, sono locali a più computer che agiscono come uno.They are local to a single computer, or in the case of domain controllers for a network domain, they are local to several computers that are acting as one.

Gli account e i gruppi predefiniti devono distinguersi l'uno dall'altro nell'ambito del dominio incorporato.Built-in accounts and groups need to be distinguished from one another within the scope of the Builtin domain. Di conseguenza, il SID per ogni account e gruppo ha un identificatore relativo univoco.Therefore, the SID for each account and group has a unique relative identifier. Il valore dell'identificatore relativo 544 è univoco per il gruppo Administrators predefinito.A relative identifier value of 544 is unique to the built-in Administrators group. Nessun altro account o gruppo nel dominio incorporato dispone di un SID con un valore finale pari a 544.No other account or group in the Builtin domain has a SID with a final value of 544.

In un altro esempio, si consideri il SID per il gruppo globale Domain Admins.In another example, consider the SID for the global group, Domain Admins. Ogni dominio di un'organizzazione dispone di un gruppo Domain Admins e il SID di ogni gruppo è diverso.Every domain in an enterprise has a Domain Admins group, and the SID for each group is different. Nell'esempio seguente viene rappresentato il SID per il gruppo Domain Admins nel dominio Contoso, Ltd. (Contoso\Domain Admins):The following example represents the SID for the Domain Admins group in the Contoso, Ltd. domain (Contoso\Domain Admins):

S-1-5-21-1004336348-1177238915-682003330-512

Il SID per Contoso\Domain Admins ha:The SID for Contoso\Domain Admins has:

  • Un livello di revisione (1)A revision level (1)

  • Un'autorità identificatore (5, NT Authority)An identifier authority (5, NT Authority)

  • Un identificatore di dominio (21-1004336348-1177238915-682003330, Contoso)A domain identifier (21-1004336348-1177238915-682003330, Contoso)

  • Identificatore relativo (512, Domain Admins)A relative identifier (512, Domain Admins)

Il SID per Contoso\Domain Admins si distingue dai SID per altri gruppi Domain Admins nella stessa organizzazione in base al relativo identificatore di dominio: 21-1004336348-1177238915-682003330.The SID for Contoso\Domain Admins is distinguished from the SIDs for other Domain Admins groups in the same enterprise by its domain identifier: 21-1004336348-1177238915-682003330. Nessun altro dominio dell'organizzazione utilizza questo valore come identificatore di dominio.No other domain in the enterprise uses this value as its domain identifier. Il SID per Contoso\Domain Admins si distingue dai SID per altri account e gruppi creati nel dominio Contoso in base al relativo identificatore, 512.The SID for Contoso\Domain Admins is distinguished from the SIDs for other accounts and groups that are created in the Contoso domain by its relative identifier, 512. Nessun altro account o gruppo nel dominio dispone di un SID con un valore finale pari a 512.No other account or group in the domain has a SID with a final value of 512.

Allocazione dell'identificatore relativoRelative identifier allocation

Quando gli account e i gruppi vengono archiviati in un database di account gestito da un sam (Security Accounts Manager) locale, è abbastanza semplice per il sistema generare un identificatore relativo univoco per ogni account e in un gruppo creato in un computer autonomo.When accounts and groups are stored in an account database that is managed by a local Security Accounts Manager (SAM), it is fairly easy for the system to generate a unique relative identifier for each account and in a group that it creates on a stand-alone computer. Il SAM in un computer autonomo può tenere traccia dei valori dell'identificatore relativo utilizzati in precedenza e assicurarsi che non li utilizzi mai più.The SAM on a stand-alone computer can track the relative identifier values that it has used before and make sure that it never uses them again.

In un dominio di rete, tuttavia, la generazione di identificatori relativi univoci è un processo più complesso.In a network domain, however, generating unique relative identifiers is a more complex process. I domini di rete di Windows Server possono avere diversi controller di dominio.Windows Server network domains can have several domain controllers. Ogni controller di dominio archivia le informazioni sugli account di Active Directory.Each domain controller stores Active Directory account information. Ciò significa che, in un dominio di rete, sono presenti tutte le copie del database degli account quante sono i controller di dominio.This means that, in a network domain, there are as many copies of the account database as there are domain controllers. Inoltre, ogni copia del database degli account è una copia master.In addition to this, every copy of the account database is a master copy. È possibile creare nuovi account e gruppi in qualsiasi controller di dominio.New accounts and groups can be created on any domain controller. Le modifiche apportate ad Active Directory in un controller di dominio vengono replicate in tutti gli altri controller di dominio nel dominio.Changes that are made to Active Directory on one domain controller are replicated to all other domain controllers in the domain. Il processo di replica delle modifiche in una copia master del database degli account in tutte le altre copie master è definito operazione multimaster.The process of replicating changes in one master copy of the account database to all other master copies is called a multimaster operation.

Il processo di generazione di identificatori relativi univoci è un'operazione a master singolo.The process of generating unique relative identifiers is a single-master operation. A un controller di dominio viene assegnato il ruolo di master RID (Relative Identifier) e viene allocata una sequenza di identificatori relativi a ogni controller di dominio nel dominio.One domain controller is assigned the role of relative identifier (RID) master, and it allocates a sequence of relative identifiers to each domain controller in the domain. Quando viene creato un nuovo account o gruppo di dominio nella replica di Active Directory di un controller di dominio, viene assegnato un SID.When a new domain account or group is created in one domain controller's replica of Active Directory, it is assigned a SID. L'identificatore relativo per il nuovo SID viene derivato dall'allocazione degli identificatori relativi del controller di dominio.The relative identifier for the new SID is taken from the domain controller's allocation of relative identifiers. Quando la fornitura di identificatori relativi inizia a scarseggiare, il controller di dominio richiede un altro blocco dal master RID.When its supply of relative identifiers begins to run low, the domain controller requests another block from the RID master.

Ogni controller di dominio utilizza ogni valore in un blocco di identificatori relativi una sola volta.Each domain controller uses each value in a block of relative identifiers only once. Il master RID alloca ogni blocco di valori dell'identificatore relativo una sola volta.The RID master allocates each block of relative identifier values only once. Questo processo garantisce che ogni account e gruppo creato nel dominio abbia un identificatore relativo univoco.This process assures that every account and group created in the domain has a unique relative identifier.

Identificatori di sicurezza e identificatori univoci globaliSecurity identifiers and globally unique identifiers

Quando viene creato un nuovo account utente o di gruppo di dominio, Active Directory archivia il SID dell'account nella proprietà ObjectSID di un oggetto Utente o Gruppo.When a new domain user or group account is created, Active Directory stores the account's SID in the ObjectSID property of a User or Group object. Assegna inoltre al nuovo oggetto un identificatore univoco globale (GUID), ovvero un valore a 128 bit univoco non solo nell'organizzazione, ma anche in tutto il mondo.It also assigns the new object a globally unique identifier (GUID), which is a 128-bit value that is unique not only in the enterprise, but also across the world. I GUID vengono assegnati a ogni oggetto creato da Active Directory, non solo agli oggetti Utente e Gruppo.GUIDs are assigned to every object that is created by Active Directory, not only User and Group objects. Il GUID di ogni oggetto viene archiviato nella relativa proprietà ObjectGUID.Each object's GUID is stored in its ObjectGUID property.

Active Directory utilizza i GUID internamente per identificare gli oggetti.Active Directory uses GUIDs internally to identify objects. Ad esempio, il GUID è una delle proprietà di un oggetto pubblicato nel catalogo globale.For example, the GUID is one of an object's properties that is published in the global catalog. La ricerca nel catalogo globale di un GUID oggetto utente produce risultati se l'utente dispone di un account in un punto qualsiasi dell'organizzazione.Searching the global catalog for a User object GUID produces results if the user has an account somewhere in the enterprise. In realtà, la ricerca di qualsiasi oggetto in base a ObjectGUID potrebbe essere il modo più affidabile per trovare l'oggetto che si desidera individuare.In fact, searching for any object by ObjectGUID might be the most reliable way of finding the object you want to locate. I valori delle altre proprietà dell'oggetto possono cambiare, ma la proprietà ObjectGUID non cambia mai.The values of other object properties can change, but the ObjectGUID property never changes. Quando a un oggetto viene assegnato un GUID, mantiene tale valore per tutta la durata.When an object is assigned a GUID, it keeps that value for life.

Se un utente passa da un dominio a un altro, l'utente ottiene un nuovo SID.If a user moves from one domain to another, the user gets a new SID. Il SID per un oggetto gruppo non cambia perché i gruppi rimangono nel dominio in cui sono stati creati.The SID for a group object does not change because groups stay in the domain where they were created. Tuttavia, se le persone si spostano, i loro account possono spostarsi con loro.However, if people move, their accounts can move with them. Se un dipendente passa dal Nord America all'Europa, ma rimane nella stessa società, un amministratore dell'azienda può spostare l'oggetto Utente del dipendente, ad esempio Contoso\NoAm in Contoso\Europa.If an employee moves from North America to Europe, but stays in the same company, an administrator for the enterprise can move the employee's User object from, for example, Contoso\NoAm to Contoso\Europe. Se l'amministratore esegue questa operazione, l'oggetto utente per l'account richiede un nuovo SID.If the administrator does this, the User object for the account needs a new SID. La parte dell'identificatore di dominio di un SID emesso in NoAm è univoca di NoAm; in modo che il SID dell'account dell'utente in Europa abbia un identificatore di dominio diverso.The domain identifier portion of a SID that is issued in NoAm is unique to NoAm; so the SID for the user's account in Europe has a different domain identifier. La parte relativa dell'identificatore di un SID è univoca rispetto al dominio. Pertanto, se il dominio cambia, cambia anche l'identificatore relativo.The relative identifier portion of a SID is unique relative to the domain; so if the domain changes, the relative identifier also changes.

Quando un oggetto User viene spostato da un dominio a un altro, è necessario generare un nuovo SID per l'account utente e archiviare nella proprietà ObjectSID.When a User object moves from one domain to another, a new SID must be generated for the user account and stored in the ObjectSID property. Prima che il nuovo valore venga scritto nella proprietà, il valore precedente viene copiato in un'altra proprietà di un oggetto User, SIDHistory.Before the new value is written to the property, the previous value is copied to another property of a User object, SIDHistory. Questa proprietà può contenere più valori.This property can hold multiple values. Ogni volta che un oggetto Utente viene spostato in un altro dominio, viene generato e archiviato un nuovo SID nella proprietà ObjectSID e viene aggiunto un altro valore all'elenco dei SID vecchi in SIDHistory.Each time a User object moves to another domain, a new SID is generated and stored in the ObjectSID property, and another value is added to the list of old SIDs in SIDHistory. Quando un utente esegue l'accesso e viene autenticato correttamente, il servizio di autenticazione del dominio esegue una query in Active Directory per tutti i SID associati all'utente, inclusi il SID corrente dell'utente, i VECCHI SID dell'utente e i SID per i gruppi dell'utente.When a user signs in and is successfully authenticated, the domain authentication service queries Active Directory for all the SIDs that are associated with the user, including the user's current SID, the user's old SIDs, and the SIDs for the user's groups. Tutti questi SID vengono restituiti al client di autenticazione e sono inclusi nel token di accesso dell'utente.All these SIDs are returned to the authentication client, and they are included in the user's access token. Quando l'utente tenta di accedere a una risorsa, uno qualsiasi dei SID nel token di accesso (incluso uno dei SID in SIDHistory) può consentire o negare l'accesso dell'utente.When the user tries to gain access to a resource, any one of the SIDs in the access token (including one of the SIDs in SIDHistory), can allow or deny the user access.

Se si consente o si nega l'accesso degli utenti a una risorsa in base ai propri processi, è consigliabile consentire o negare l'accesso a un gruppo e non a un singolo utente.If you allow or deny users' access to a resource based on their jobs, you should allow or deny access to a group, not to an individual. In questo modo, quando gli utenti cambiano lavoro o si spostano in altri reparti, è possibile modificare facilmente l'accesso rimuovendoli da determinati gruppi e aggiungendoli ad altri.That way, when users change jobs or move to other departments, you can easily adjust their access by removing them from certain groups and adding them to others.

Tuttavia, se si consente o si nega a un singolo utente l'accesso alle risorse, è probabile che si desideri che l'accesso dell'utente rimanga lo stesso indipendentemente dal numero di modifiche apportate al dominio dell'account utente.However, if you allow or deny an individual user access to resources, you probably want that user's access to remain the same no matter how many times the user's account domain changes. La proprietà SIDHistory rende possibile questa operazione.The SIDHistory property makes this possible. Quando un utente modifica i domini, non è necessario modificare l'elenco di controllo di accesso (ACL) per alcuna risorsa.When a user changes domains, there is no need to change the access control list (ACL) on any resource. Se un ACL ha il VECCHIO SID dell'utente, ma non quello nuovo, il VECCHIO SID è ancora nel token di accesso dell'utente.If an ACL has the user's old SID, but not the new one, the old SID is still in the user's access token. È elencato tra i SID per i gruppi dell'utente e all'utente viene concesso o negato l'accesso in base al SID precedente.It is listed among the SIDs for the user's groups, and the user is granted or denied access based on the old SID.

SID notiWell-known SIDs

I valori di alcuni SID sono costanti in tutti i sistemi.The values of certain SIDs are constant across all systems. Vengono creati durante l'installazione del sistema operativo o del dominio.They are created when the operating system or domain is installed. Sono denominati SID noti perché identificano utenti generici o gruppi generici.They are called well-known SIDs because they identify generic users or generic groups.

Esistono SID universali noti che sono significativi in tutti i sistemi sicuri che usano questo modello di sicurezza, inclusi i sistemi operativi diversi da Windows.There are universal well-known SIDs that are meaningful on all secure systems that use this security model, including operating systems other than Windows. Inoltre, esistono SID noti significativi solo nei sistemi operativi Windows.In addition, there are well-known SIDs that are meaningful only on Windows operating systems.

Nella tabella seguente sono elencati i SID universali noti.The following table lists the universal well-known SIDs.

ValueValue SID Well-Known universaleUniversal Well-Known SID IdentificaIdentifies
S-1-0-0S-1-0-0 Null SIDNull SID Gruppo senza membri.A group with no members. Questo viene spesso usato quando non è noto un valore SID.This is often used when a SID value is not known.
S-1-1-0S-1-1-0 WorldWorld Gruppo che include tutti gli utenti.A group that includes all users.
S-1-2-0S-1-2-0 LocaliLocal Utenti che a questo tipo di accesso a terminali connessi localmente (fisicamente) al sistema.Users who log on to terminals that are locally (physically) connected to the system.
S-1-2-1S-1-2-1 Accesso alla consoleConsole Logon Gruppo che include gli utenti connessi alla console fisica.A group that includes users who are logged on to the physical console.
S-1-3-0S-1-3-0 ID proprietario creatoreCreator Owner ID Identificatore di sicurezza da sostituire con l'identificatore di sicurezza dell'utente che ha creato un nuovo oggetto.A security identifier to be replaced by the security identifier of the user who created a new object. Questo SID viene utilizzato nelle voci di controllo di accesso ereditabili.This SID is used in inheritable ACEs.
S-1-3-1S-1-3-1 ID gruppo creatoreCreator Group ID Identificatore di sicurezza da sostituire con il SID del gruppo primario dell'utente che ha creato un nuovo oggetto.A security identifier to be replaced by the primary-group SID of the user who created a new object. Utilizzare questo SID nelle voci di controllo di accesso ereditabili.Use this SID in inheritable ACEs.
S-1-3-2S-1-3-2 Creator Owner ServerCreator Owner Server
S-1-3-3S-1-3-3 Creator Group ServerCreator Group Server
S-1-3-4S-1-3-4 Diritti del proprietarioOwner Rights Gruppo che rappresenta il proprietario corrente dell'oggetto.A group that represents the current owner of the object. Quando una ACE che porta questo SID viene applicata a un oggetto, il sistema ignora le autorizzazioni READ_CONTROL e WRITE_DAC per il proprietario dell'oggetto.When an ACE that carries this SID is applied to an object, the system ignores the implicit READ_CONTROL and WRITE_DAC permissions for the object owner.
S-1-4S-1-4 Autorità non univocaNon-unique Authority SID che rappresenta un'autorità identificatore.A SID that represents an identifier authority.
S-1-5S-1-5 NT AuthorityNT Authority SID che rappresenta un'autorità identificatore.A SID that represents an identifier authority.
S-1-5-80-0S-1-5-80-0 Tutti i serviziAll Services Gruppo che include tutti i processi di servizio configurati nel sistema.A group that includes all service processes configured on the system. L'appartenenza è controllata dal sistema operativo.Membership is controlled by the operating system.

Nella tabella seguente sono elencate le costanti dell'autorità degli identificatori predefinite.The following table lists the predefined identifier authority constants. I primi quattro valori vengono utilizzati con SID noti universali e l'ultimo valore viene utilizzato con SID noti nei sistemi operativi Windows designati nell'elenco Si applica a.The first four values are used with universal well-known SIDs, and the last value is used with well-known SIDs in Windows operating systems designated in the Applies To list.

Identificatore AutoritàIdentifier Authority ValueValue Prefisso stringa SIDSID String Prefix
SECURITY_NULL_SID_AUTHORITYSECURITY_NULL_SID_AUTHORITY 00 S-1-0S-1-0
SECURITY_WORLD_SID_AUTHORITYSECURITY_WORLD_SID_AUTHORITY 11 S-1-1S-1-1
SECURITY_LOCAL_SID_AUTHORITYSECURITY_LOCAL_SID_AUTHORITY 22 S-1-2S-1-2
SECURITY_CREATOR_SID_AUTHORITYSECURITY_CREATOR_SID_AUTHORITY 33 S-1-3S-1-3

I seguenti valori rid vengono utilizzati con SID universali noti.The following RID values are used with universal well-known SIDs. Nella colonna Identifier authority viene visualizzato il prefisso dell'autorità di identificazione con cui è possibile combinare il RID per creare un SID noto universale.The Identifier authority column shows the prefix of the identifier authority with which you can combine the RID to create a universal well-known SID.

Autorità identificatore relativoRelative Identifier Authority ValueValue Identificatore AutoritàIdentifier Authority
SECURITY_NULL_RIDSECURITY_NULL_RID 00 S-1-0S-1-0
SECURITY_WORLD_RIDSECURITY_WORLD_RID 00 S-1-1S-1-1
SECURITY_LOCAL_RIDSECURITY_LOCAL_RID 00 S-1-2S-1-2
SECURITY_CREATOR_OWNER_RIDSECURITY_CREATOR_OWNER_RID 00 S-1-3S-1-3
SECURITY_CREATOR_GROUP_RIDSECURITY_CREATOR_GROUP_RID 11 S-1-3S-1-3

L'autorità identificatore predefinita SECURITY_NT_AUTHORITY (S-1-5) produce SID non universali e significativi solo nelle installazioni dei sistemi operativi **** Windows designate nell'elenco Si applica a all'inizio di questo argomento.The SECURITY_NT_AUTHORITY (S-1-5) predefined identifier authority produces SIDs that are not universal and are meaningful only in installations of the Windows operating systems that are designated in the Applies To list at the beginning of this topic. Nella tabella seguente sono elencati i SID noti.The following table lists the well-known SIDs.

SIDSID Nome visualizzatoDisplay Name DescrizioneDescription
S-1-5-1S-1-5-1 DialupDialup Gruppo che include tutti gli utenti connessi al sistema tramite una connessione remota.A group that includes all users who are logged on to the system by means of a dial-up connection.
S-1-5-113S-1-5-113 Account localeLocal account È possibile utilizzare questo SID per limitare l'accesso di rete agli account locali anziché "amministratore" o equivalente.You can use this SID when restricting network logon to local accounts instead of "administrator" or equivalent. Questo SID può essere efficace nel bloccare l'accesso alla rete per gli utenti e i gruppi locali in base al tipo di account, indipendentemente dal nome effettivo.This SID can be effective in blocking network logon for local users and groups by account type regardless of what they are actually named.
S-1-5-114S-1-5-114 Account locale e membro del gruppo AdministratorsLocal account and member of Administrators group È possibile utilizzare questo SID per limitare l'accesso di rete agli account locali anziché "amministratore" o equivalente.You can use this SID when restricting network logon to local accounts instead of "administrator" or equivalent. Questo SID può essere efficace nel bloccare l'accesso alla rete per gli utenti e i gruppi locali in base al tipo di account, indipendentemente dal nome effettivo.This SID can be effective in blocking network logon for local users and groups by account type regardless of what they are actually named.
S-1-5-2S-1-5-2 ReteNetwork Gruppo che include tutti gli utenti connessi tramite una connessione di rete.A group that includes all users who are logged on by means of a network connection. I token di accesso per gli utenti interattivi non contengono il SID di rete.Access tokens for interactive users do not contain the Network SID.
S-1-5-3S-1-5-3 BatchBatch Gruppo che include tutti gli utenti che hanno eseguito l'accesso tramite una funzionalità di coda batch, ad esempio i processi dell'utilità di pianificazione.A group that includes all users who have logged on by means of a batch queue facility, such as task scheduler jobs.
S-1-5-4S-1-5-4 InterattivoInteractive Gruppo che include tutti gli utenti che eseere connessi in modo interattivo.A group that includes all users who log on interactively. Un utente può avviare una sessione di accesso interattiva accedendo direttamente dalla tastiera, aprendo una connessione a Servizi Desktop remoto da un computer remoto o utilizzando una shell remota come Telnet.A user can start an interactive logon session by logging on directly at the keyboard, by opening a Remote Desktop Services connection from a remote computer, or by using a remote shell such as Telnet. In ogni caso, il token di accesso dell'utente contiene il SID interattivo.In each case, the user's access token contains the Interactive SID. Se l'utente accede utilizzando una connessione a Servizi Desktop remoto, il token di accesso dell'utente contiene anche il SID di accesso interattivo remoto.If the user signs in by using a Remote Desktop Services connection, the user's access token also contains the Remote Interactive Logon SID.
S-1-5-5- X - YS-1-5-5- X-Y Sessione di accessoLogon Session I valori X e Y per questi SID identificano in modo univoco una particolare sessione di accesso.The X and Y values for these SIDs uniquely identify a particular logon session.
S-1-5-6S-1-5-6 ServizioService Gruppo che include tutte le entità di sicurezza che hanno eseguito l'accesso come servizio.A group that includes all security principals that have signed in as a service.
S-1-5-7S-1-5-7 Accesso anonimoAnonymous Logon Utente che si è connesso al computer senza specificare un nome utente e una password.A user who has connected to the computer without supplying a user name and password.
L'identità accesso anonimo è diversa dall'identità utilizzata da Internet Information Services (IIS) per l'accesso Web anonimo.The Anonymous Logon identity is different from the identity that is used by Internet Information Services (IIS) for anonymous web access. IIS utilizza un account effettivo, per impostazione IUSR_ ComputerName, per l'accesso anonimo alle risorse in un sito Web.IIS uses an actual account—by default, IUSR_ ComputerName, for anonymous access to resources on a website. In senso stretto, tale accesso non è anonimo perché l'entità di sicurezza è nota anche se le persone non identificate usano l'account.Strictly speaking, such access is not anonymous because the security principal is known even though unidentified people are using the account. IUSR_ NomeComputer (o qualsiasi nome dell'account) dispone di una password e IIS esegue l'accesso all'account all'avvio del servizio.IUSR_ ComputerName (or whatever you name the account) has a password, and IIS logs on the account when the service starts. Di conseguenza, l'utente "anonimo" di IIS è un membro di Authenticated Users, mentre l'accesso anonimo non lo è.As a result, the IIS "anonymous" user is a member of Authenticated Users but Anonymous Logon is not.
S-1-5-8S-1-5-8 ProxyProxy Attualmente non è applicabile: questo SID non viene utilizzato.Does not currently apply: this SID is not used.
S-1-5-9S-1-5-9 Controller di dominio dell'organizzazioneEnterprise Domain Controllers Gruppo che include tutti i controller di dominio in una foresta di domini.A group that includes all domain controllers in a forest of domains.
S-1-5-10S-1-5-10 SelfSelf Segnaposto in una ACE per un utente, un gruppo o un oggetto computer in Active Directory.A placeholder in an ACE for a user, group, or computer object in Active Directory. Quando si concedono le autorizzazioni a Self, queste vengono concesse all'entità di sicurezza rappresentata dall'oggetto.When you grant permissions to Self, you grant them to the security principal that is represented by the object. Durante un controllo di accesso, il sistema operativo sostituisce il SID per Self con il SID dell'entità di sicurezza rappresentata dall'oggetto.During an access check, the operating system replaces the SID for Self with the SID for the security principal that is represented by the object.
S-1-5-11S-1-5-11 Authenticated UsersAuthenticated Users Gruppo che include tutti gli utenti e i computer con identità autenticate.A group that includes all users and computers with identities that have been authenticated. Authenticated Users non include Guest anche se l'account Guest dispone di una password.Authenticated Users does not include Guest even if the Guest account has a password.
Questo gruppo include le entità di sicurezza autenticate di qualsiasi dominio trusted, non solo il dominio corrente.This group includes authenticated security principals from any trusted domain, not only the current domain.
S-1-5-12S-1-5-12 Codice con restrizioniRestricted Code Identità utilizzata da un processo in esecuzione in un contesto di sicurezza con restrizioni.An identity that is used by a process that is running in a restricted security context. Nei sistemi operativi Windows e Windows Server, un criterio di restrizione software può assegnare al codice uno dei tre livelli di sicurezza seguenti: senza restrizioni, con restrizioni o non consentiti.In Windows and Windows Server operating systems, a software restriction policy can assign one of three security levels to code: unrestricted, restricted, or disallowed. Quando il codice viene eseguito al livello di sicurezza con restrizioni, il SID con restrizioni viene aggiunto al token di accesso dell'utente.When code runs at the restricted security level, the Restricted SID is added to the user's access token.
S-1-5-13S-1-5-13 Utente di Terminal ServerTerminal Server User Gruppo che include tutti gli utenti che a tale server a cui è abilitato Servizi Desktop remoto.A group that includes all users who sign in to a server with Remote Desktop Services enabled.
S-1-5-14S-1-5-14 Accesso interattivo remotoRemote Interactive Logon Gruppo che include tutti gli utenti che a utilizzano una connessione desktop remoto per accedere al computer.A group that includes all users who log on to the computer by using a remote desktop connection. Questo gruppo è un sottoinsieme del gruppo Interattivo.This group is a subset of the Interactive group. I token di accesso che contengono il SID di accesso interattivo remoto contengono anche il SID interattivo.Access tokens that contain the Remote Interactive Logon SID also contain the Interactive SID.
S-1-5-15S-1-5-15 Questa organizzazioneThis Organization Gruppo che include tutti gli utenti della stessa organizzazione.A group that includes all users from the same organization. Incluso solo con gli account di Active Directory e aggiunto solo da un controller di dominio.Only included with Active Directory accounts and only added by a domain controller.
S-1-5-17S-1-5-17 IIS_USRSIIS_USRS Account utilizzato dall'utente predefinito di Internet Information Services (IIS).An account that is used by the default Internet Information Services (IIS) user.
S-1-5-18S-1-5-18 Sistema (o LocalSystem)System (or LocalSystem) Identità utilizzata localmente dal sistema operativo e dai servizi configurati per l'accesso come LocalSystem.An identity that is used locally by the operating system and by services that are configured to sign in as LocalSystem.
Il sistema è un membro nascosto degli amministratori.System is a hidden member of Administrators. Ciò significa che qualsiasi processo eseguito come sistema dispone del SID per il gruppo Administrators predefinito nel token di accesso.That is, any process running as System has the SID for the built-in Administrators group in its access token.
Quando un processo eseguito localmente come Sistema accede alle risorse di rete, lo fa utilizzando l'identità di dominio del computer.When a process that is running locally as System accesses network resources, it does so by using the computer's domain identity. Il token di accesso nel computer remoto include il SID per l'account di dominio del computer locale più i SID per i gruppi di sicurezza di cui il computer è membro, ad esempio Computer di dominio e Utenti autenticati.Its access token on the remote computer includes the SID for the local computer's domain account plus SIDs for security groups that the computer is a member of, such as Domain Computers and Authenticated Users.
S-1-5-19S-1-5-19 NT Authority (LocalService)NT Authority (LocalService) Identità utilizzata dai servizi locali del computer, senza necessità di un accesso locale esteso e accesso di rete autenticato.An identity that is used by services that are local to the computer, have no need for extensive local access, and do not need authenticated network access. I servizi eseguiti come LocalService accedono alle risorse locali come utenti ordinari e accedono alle risorse di rete come utenti anonimi.Services that run as LocalService access local resources as ordinary users, and they access network resources as anonymous users. Di conseguenza, un servizio eseguito come LocalService ha un'autorità significativamente inferiore rispetto a un servizio eseguito come LocalSystem in locale e in rete.As a result, a service that runs as LocalService has significantly less authority than a service that runs as LocalSystem locally and on the network.
S-1-5-20S-1-5-20 Servizio di reteNetwork Service Identità utilizzata dai servizi che non necessitano di un accesso locale esteso, ma che necessitano di accesso di rete autenticato.An identity that is used by services that have no need for extensive local access but do need authenticated network access. I servizi in esecuzione come NetworkService accedono alle risorse locali come utenti ordinari e accedono alle risorse di rete utilizzando l'identità del computer.Services running as NetworkService access local resources as ordinary users and access network resources by using the computer's identity. Di conseguenza, un servizio eseguito come NetworkService ha lo stesso accesso di rete di un servizio eseguito come LocalSystem, ma ha notevolmente ridotto l'accesso locale.As a result, a service that runs as NetworkService has the same network access as a service that runs as LocalSystem, but it has significantly reduced local access.
S-1-5-domain-500S-1-5-domain-500 AmministratoreAdministrator Un account utente per l'amministratore di sistema.A user account for the system administrator. Ogni computer dispone di un account amministratore locale e di ogni dominio dispone di un account amministratore di dominio.Every computer has a local Administrator account and every domain has a domain Administrator account.
L'account Administrator è il primo account creato durante l'installazione del sistema operativo.The Administrator account is the first account created during operating system installation. L'account non può essere eliminato, disabilitato o bloccato, ma può essere rinominato.The account cannot be deleted, disabled, or locked out, but it can be renamed.
Per impostazione predefinita, l'account Administrator è un membro del gruppo Administrators e non può essere rimosso da tale gruppo.By default, the Administrator account is a member of the Administrators group, and it cannot be removed from that group.
Dominio S-1-5-5 -501**S-1-5-domain-501 GuestGuest Un account utente per gli utenti che non dispongono di singoli account.A user account for people who do not have individual accounts. Ogni computer dispone di un account Guest locale e di ogni dominio dispone di un account Guest di dominio.Every computer has a local Guest account, and every domain has a domain Guest account.
Per impostazione predefinita, Guest è un membro dei gruppi Everyone e Guests.By default, Guest is a member of the Everyone and the Guests groups. L'account Guest di dominio è anche membro dei gruppi Domain Guests e Domain Users.The domain Guest account is also a member of the Domain Guests and Domain Users groups.
A differenza dell'accesso anonimo, Guest è un account reale e può essere utilizzato per accedere in modo interattivo.Unlike Anonymous Logon, Guest is a real account, and it can be used to log on interactively. L'account Guest non richiede una password, ma può avere una password.The Guest account does not require a password, but it can have one.
Dominio S-1-5-5 -502**S-1-5-domain-502 krbtgtkrbtgt Un account utente utilizzato dal servizio Centro distribuzione chiavi (KDC).A user account that is used by the Key Distribution Center (KDC) service. L'account esiste solo nei controller di dominio.The account exists only on domain controllers.
Dominio S-1-5-5 -512**S-1-5-domain-512 Domain AdminsDomain Admins Gruppo globale con membri autorizzati ad amministrare il dominio.A global group with members that are authorized to administer the domain. Per impostazione predefinita, il gruppo Domain Admins è membro del gruppo Administrators in tutti i computer aggiunti al dominio, inclusi i controller di dominio.By default, the Domain Admins group is a member of the Administrators group on all computers that have joined the domain, including domain controllers.
Domain Admins è il proprietario predefinito di qualsiasi oggetto creato in Active Directory del dominio da qualsiasi membro del gruppo.Domain Admins is the default owner of any object that is created in the domain's Active Directory by any member of the group. Se i membri del gruppo creano altri oggetti, ad esempio i file, il proprietario predefinito è il gruppo Administrators.If members of the group create other objects, such as files, the default owner is the Administrators group.
Dominio S-1-5-5 -513**S-1-5-domain-513 Domain UsersDomain Users Gruppo globale che include tutti gli utenti di un dominio.A global group that includes all users in a domain. Quando si crea un nuovo oggetto Utente in Active Directory, l'utente viene aggiunto automaticamente a questo gruppo.When you create a new User object in Active Directory, the user is automatically added to this group.
Dominio S-1-5-5 -514**S-1-5-domain-514 Domain GuestsDomain Guests Un gruppo globale, che per impostazione predefinita dispone di un solo membro: l'account Guest predefinito del dominio.A global group, which by default, has only one member: the domain's built-in Guest account.
Dominio S-1-5-5 -515**S-1-5-domain-515 Computer di dominioDomain Computers Gruppo globale che include tutti i computer aggiunti al dominio, esclusi i controller di dominio.A global group that includes all computers that have joined the domain, excluding domain controllers.
Dominio S-1-5-5 -516**S-1-5-domain-516 Controller di dominioDomain Controllers Gruppo globale che include tutti i controller di dominio nel dominio.A global group that includes all domain controllers in the domain. I nuovi controller di dominio vengono aggiunti automaticamente a questo gruppo.New domain controllers are added to this group automatically.
Dominio S-1-5-5 -517**S-1-5-domain-517 Autori di certificatiCert Publishers Gruppo globale che include tutti i computer che ospitano un'autorità di certificazione dell'organizzazione.A global group that includes all computers that host an enterprise certification authority.
Gli autori di certificati sono autorizzati a pubblicare certificati per gli oggetti utente in Active Directory.Cert Publishers are authorized to publish certificates for User objects in Active Directory.
Dominio radice S-1-5**-518S-1-5-root domain-518 Schema AdminsSchema Admins Gruppo presente solo nel dominio radice della foresta.A group that exists only in the forest root domain. Si tratta di un gruppo universale se il dominio è in modalità nativa ed è un gruppo globale se il dominio è in modalità mista.It is a universal group if the domain is in native mode, and it is a global group if the domain is in mixed mode. Il gruppo Schema Admins è autorizzato ad apportare modifiche allo schema in Active Directory.The Schema Admins group is authorized to make schema changes in Active Directory. Per impostazione predefinita, l'unico membro del gruppo è l'account Administrator per il dominio radice della foresta.By default, the only member of the group is the Administrator account for the forest root domain.
Dominio radice S-1-5**-519S-1-5-root domain-519 Enterprise AdminsEnterprise Admins Gruppo presente solo nel dominio radice della foresta.A group that exists only in the forest root domain. Si tratta di un gruppo universale se il dominio è in modalità nativa ed è un gruppo globale se il dominio è in modalità mista.It is a universal group if the domain is in native mode, and it is a global group if the domain is in mixed mode.
Il gruppo Enterprise Admins è autorizzato ad apportare modifiche all'infrastruttura della foresta, ad esempio l'aggiunta di domini figlio, la configurazione dei siti, l'autorizzazione dei server DHCP e l'installazione di autorità di certificazione aziendali.The Enterprise Admins group is authorized to make changes to the forest infrastructure, such as adding child domains, configuring sites, authorizing DHCP servers, and installing enterprise certification authorities.
Per impostazione predefinita, l'unico membro di Enterprise Admins è l'account Administrator per il dominio radice della foresta.By default, the only member of Enterprise Admins is the Administrator account for the forest root domain. Il gruppo è un membro predefinito di ogni gruppo Domain Admins nella foresta.The group is a default member of every Domain Admins group in the forest.
Dominio S-1-5-5 -520**S-1-5-domain-520 Proprietari autori Criteri di gruppoGroup Policy Creator Owners Gruppo globale autorizzato a creare nuovi oggetti Criteri di gruppo in Active Directory.A global group that is authorized to create new Group Policy Objects in Active Directory. Per impostazione predefinita, l'unico membro del gruppo è Administrator.By default, the only member of the group is Administrator.
Gli oggetti creati dai membri dei proprietari dei creatori di Criteri di gruppo sono di proprietà del singolo utente che li crea.Objects that are created by members of Group Policy Creator Owners are owned by the individual user who creates them. In questo modo, il gruppo Proprietari autori Criteri di gruppo è diverso da altri gruppi amministrativi (ad esempio Administrators e Domain Admins).In this way, the Group Policy Creator Owners group is unlike other administrative groups (such as Administrators and Domain Admins). Gli oggetti creati dai membri di questi gruppi sono di proprietà del gruppo anziché dell'utente.Objects that are created by members of these groups are owned by the group rather than by the individual.
Dominio S-1-5-**-553S-1-5-domain-553 Server RAS e IASRAS and IAS Servers Un gruppo di dominio locale.A local domain group. Per impostazione predefinita, questo gruppo non dispone di membri.By default, this group has no members. I computer che eseguono il servizio Routing e Accesso remoto vengono aggiunti automaticamente al gruppo.Computers that are running the Routing and Remote Access service are added to the group automatically.
I membri di questo gruppo hanno accesso ad alcune proprietà degli oggetti Utente, ad esempio Restrizioni di lettura account, Lettura informazioni di accesso e Lettura informazioni di accesso remoto.Members of this group have access to certain properties of User objects, such as Read Account Restrictions, Read Logon Information, and Read Remote Access Information.
S-1-5-32-544S-1-5-32-544 AdministratorsAdministrators Gruppo predefinito.A built-in group. Dopo l'installazione iniziale del sistema operativo, l'unico membro del gruppo è l'account Administrator.After the initial installation of the operating system, the only member of the group is the Administrator account. Quando un computer viene aggiunto a un dominio, il gruppo Domain Admins viene aggiunto al gruppo Administrators.When a computer joins a domain, the Domain Admins group is added to the Administrators group. Quando un server diventa un controller di dominio, anche il gruppo Enterprise Admins viene aggiunto al gruppo Administrators.When a server becomes a domain controller, the Enterprise Admins group also is added to the Administrators group.
S-1-5-32-545S-1-5-32-545 UtentiUsers Gruppo predefinito.A built-in group. Dopo l'installazione iniziale del sistema operativo, l'unico membro è il gruppo Authenticated Users.After the initial installation of the operating system, the only member is the Authenticated Users group.
S-1-5-32-546S-1-5-32-546 GuestGuests Gruppo predefinito.A built-in group. Per impostazione predefinita, l'unico membro è l'account Guest.By default, the only member is the Guest account. Il gruppo Guest consente agli utenti occasionali o occasionali di accedere con privilegi limitati all'account Guest predefinito di un computer.The Guests group allows occasional or one-time users to log on with limited privileges to a computer's built-in Guest account.
S-1-5-32-547S-1-5-32-547 Power UsersPower Users Gruppo predefinito.A built-in group. Per impostazione predefinita, il gruppo non dispone di membri.By default, the group has no members. Gli utenti esperti possono creare utenti e gruppi locali; modificare ed eliminare gli account creati; e rimuovere gli utenti dai gruppi Power Users, Users e Guests.Power users can create local users and groups; modify and delete accounts that they have created; and remove users from the Power Users, Users, and Guests groups. Gli utenti esperti possono anche installare programmi; creare, gestire ed eliminare stampanti locali; e creare ed eliminare condivisioni file.Power users also can install programs; create, manage, and delete local printers; and create and delete file shares.
S-1-5-32-548S-1-5-32-548 Account OperatorsAccount Operators Gruppo incorporato presente solo nei controller di dominio.A built-in group that exists only on domain controllers. Per impostazione predefinita, il gruppo non dispone di membri.By default, the group has no members. Per impostazione predefinita, gli operatori di account dispongono dell'autorizzazione per creare, modificare ed eliminare account per utenti, gruppi e computer in tutti i contenitori e unità organizzative di Active Directory ad eccezione del contenitore incorporato e dell'unità organizzativa Controller di dominio.By default, Account Operators have permission to create, modify, and delete accounts for users, groups, and computers in all containers and organizational units of Active Directory except the Builtin container and the Domain Controllers OU. Gli operatori di account non dispongono dell'autorizzazione per modificare i gruppi Administrators e Domain Admins, né per modificare gli account per i membri di tali gruppi.Account Operators do not have permission to modify the Administrators and Domain Admins groups, nor do they have permission to modify the accounts for members of those groups.
S-1-5-32-549S-1-5-32-549 Operatori del serverServer Operators Descrizione: Gruppo incorporato presente solo nei controller di dominio.Description: A built-in group that exists only on domain controllers. Per impostazione predefinita, il gruppo non dispone di membri.By default, the group has no members. Gli operatori del server possono accedere a un server in modo interattivo; creare ed eliminare condivisioni di rete; avviare e arrestare i servizi; eseguire il backup e il ripristino dei file; formattare il disco rigido del computer; e arrestare il computer.Server Operators can log on to a server interactively; create and delete network shares; start and stop services; back up and restore files; format the hard disk of the computer; and shut down the computer.
S-1-5-32-550S-1-5-32-550 Operatori di stampaPrint Operators Gruppo incorporato presente solo nei controller di dominio.A built-in group that exists only on domain controllers. Per impostazione predefinita, l'unico membro è il gruppo Domain Users.By default, the only member is the Domain Users group. Gli operatori di stampa possono gestire stampanti e code di documenti.Print Operators can manage printers and document queues.
S-1-5-32-551S-1-5-32-551 Operatori di backupBackup Operators Gruppo predefinito.A built-in group. Per impostazione predefinita, il gruppo non dispone di membri.By default, the group has no members. Gli operatori di backup possono eseguire il backup e il ripristino di tutti i file in un computer, indipendentemente dalle autorizzazioni che proteggono tali file.Backup Operators can back up and restore all files on a computer, regardless of the permissions that protect those files. Gli operatori di backup possono inoltre accedere al computer e arrestarlo.Backup Operators also can log on to the computer and shut it down.
S-1-5-32-552S-1-5-32-552 ReplicatorsReplicators Gruppo incorporato utilizzato dal servizio Replica file nei controller di dominio.A built-in group that is used by the File Replication service on domain controllers. Per impostazione predefinita, il gruppo non dispone di membri.By default, the group has no members. Non aggiungere utenti a questo gruppo.Do not add users to this group.
S-1-5-64-10S-1-5-64-10 Autenticazione NTLMNTLM Authentication SID utilizzato quando il pacchetto di autenticazione NTLM autentica il clientA SID that is used when the NTLM authentication package authenticated the client
S-1-5-64-14S-1-5-64-14 Autenticazione SChannelSChannel Authentication SID utilizzato quando il pacchetto di autenticazione SChannel autentica il client.A SID that is used when the SChannel authentication package authenticated the client.
S-1-5-64-21S-1-5-64-21 Autenticazione del digestDigest Authentication SID utilizzato quando il pacchetto di autenticazione del digest autentica il client.A SID that is used when the Digest authentication package authenticated the client.
S-1-5-80S-1-5-80 Servizio NTNT Service SID utilizzato come prefisso dell'account del servizio NT.A SID that is used as an NT Service account prefix.
S-1-5-80-0S-1-5-80-0 Tutti i serviziAll Services Gruppo che include tutti i processi di servizio configurati nel sistema.A group that includes all service processes that are configured on the system. L'appartenenza è controllata dal sistema operativo.Membership is controlled by the operating system. SID S-1-5-80-0 è uguale a NT SERVICES\ALL SERVICES.SID S-1-5-80-0 equals NT SERVICES\ALL SERVICES. Questo SID è stato introdotto in Windows Server 2008 R2.This SID was introduced in Windows Server 2008 R2.
S-1-5-83-0S-1-5-83-0 NT VIRTUAL MACHINE\Virtual MachinesNT VIRTUAL MACHINE\Virtual Machines Gruppo predefinito.A built-in group. Il gruppo viene creato quando viene installato il ruolo Hyper-V.The group is created when the Hyper-V role is installed. L'appartenenza al gruppo viene gestita dal servizio di gestione Hyper-V (VMMS).Membership in the group is maintained by the Hyper-V Management Service (VMMS). Questo gruppo richiede il diritto Crea collegamenti simbolici (SeCreateSymbolicLinkPrivilege) e il diritto Accedi come servizio (SeServiceLogonRight). ****This group requires the Create Symbolic Links right (SeCreateSymbolicLinkPrivilege), and also the Log on as a Service right (SeServiceLogonRight).
S-1-16-0S-1-16-0 Livello obbligatorio non attendibileUntrusted Mandatory Level SID che rappresenta un livello di integrità non attendibile.A SID that represents an untrusted integrity level.
S-1-16-4096S-1-16-4096 Basso livello obbligatorioLow Mandatory Level SID che rappresenta un livello di integrità basso.A SID that represents a low integrity level.
S-1-16-8192S-1-16-8192 Livello obbligatorio medioMedium Mandatory Level Questo SID rappresenta un livello di integrità medio.This SID represents a medium integrity level.
S-1-16-8448S-1-16-8448 Livello medio più obbligatorioMedium Plus Mandatory Level Un SID che rappresenta un livello di integrità media e più.A SID that represents a medium plus integrity level.
S-1-16-12288S-1-16-12288 Livello obbligatorio elevatoHigh Mandatory Level SID che rappresenta un livello di integrità elevato.A SID that represents a high integrity level.
S-1-16-16384S-1-16-16384 Livello obbligatorio di sistemaSystem Mandatory Level SID che rappresenta un livello di integrità del sistema.A SID that represents a system integrity level.
S-1-16-20480S-1-16-20480 Livello obbligatorio processo protettoProtected Process Mandatory Level SID che rappresenta un livello di integrità del processo protetto.A SID that represents a protected-process integrity level.
S-1-16-28672S-1-16-28672 Livello obbligatorio processo sicuroSecure Process Mandatory Level SID che rappresenta un livello di integrità del processo sicuro.A SID that represents a secure process integrity level.

I seguenti RID sono relativi a ogni dominio.The following RIDs are relative to each domain.

RIDRID IdentificaIdentifies
DOMAIN_USER_RID_ADMINDOMAIN_USER_RID_ADMIN Account utente amministrativo in un dominio.The administrative user account in a domain.
DOMAIN_USER_RID_GUESTDOMAIN_USER_RID_GUEST L'account utente guest in un dominio.The guest-user account in a domain. Gli utenti che non dispongono di un account possono accedere automaticamente a questo account.Users who do not have an account can automatically sign in to this account.
DOMAIN_GROUP_RID_USERSDOMAIN_GROUP_RID_USERS Gruppo che contiene tutti gli account utente in un dominio.A group that contains all user accounts in a domain. Tutti gli utenti vengono aggiunti automaticamente a questo gruppo.All users are automatically added to this group.
DOMAIN_GROUP_RID_GUESTSDOMAIN_GROUP_RID_GUESTS L'account Guest di gruppo in un dominio.The group Guest account in a domain.
DOMAIN_GROUP_RID_COMPUTERSDOMAIN_GROUP_RID_COMPUTERS Gruppo Computer di dominio.The Domain Computer group. Tutti i computer nel dominio sono membri di questo gruppo.All computers in the domain are members of this group.
DOMAIN_GROUP_RID_CONTROLLERSDOMAIN_GROUP_RID_CONTROLLERS Gruppo di controller di dominio.The Domain Controller group. Tutti i controller di dominio nel dominio sono membri di questo gruppo.All domain controllers in the domain are members of this group.
DOMAIN_GROUP_RID_CERT_ADMINSDOMAIN_GROUP_RID_CERT_ADMINS Gruppo dell'editore del certificato.The certificate publishers' group. I computer che eseguono Servizi certificati Active Directory sono membri di questo gruppo.Computers running Active Directory Certificate Services are members of this group.
DOMAIN_GROUP_RID_SCHEMA_ADMINSDOMAIN_GROUP_RID_SCHEMA_ADMINS Gruppo degli amministratori dello schema.The schema administrators' group. I membri di questo gruppo possono modificare lo schema di Active Directory.Members of this group can modify the Active Directory schema.
DOMAIN_GROUP_RID_ENTERPRISE_ADMINSDOMAIN_GROUP_RID_ENTERPRISE_ADMINS Gruppo degli amministratori dell'organizzazione.The enterprise administrators' group. I membri di questo gruppo hanno accesso completo a tutti i domini nella foresta di Active Directory.Members of this group have full access to all domains in the Active Directory forest. Gli amministratori dell'organizzazione sono responsabili delle operazioni a livello di foresta, ad esempio l'aggiunta o la rimozione di nuovi domini.Enterprise administrators are responsible for forest-level operations such as adding or removing new domains.
DOMAIN_GROUP_RID_POLICY_ADMINSDOMAIN_GROUP_RID_POLICY_ADMINS Gruppo degli amministratori dei criteri.The policy administrators' group.

Nella tabella seguente sono riportati esempi di DOMINI relativi al dominio utilizzati per formare SID noti per i gruppi locali.The following table provides examples of domain-relative RIDs that are used to form well-known SIDs for local groups.

RIDRID IdentificaIdentifies
DOMAIN_ALIAS_RID_ADMINSDOMAIN_ALIAS_RID_ADMINS Amministratori del dominio.Administrators of the domain.
DOMAIN_ALIAS_RID_USERSDOMAIN_ALIAS_RID_USERS Tutti gli utenti del dominio.All users in the domain.
DOMAIN_ALIAS_RID_GUESTSDOMAIN_ALIAS_RID_GUESTS Guest del dominio.Guests of the domain.
DOMAIN_ALIAS_RID_POWER_USERSDOMAIN_ALIAS_RID_POWER_USERS Un utente o un insieme di utenti che si aspettano di considerare un sistema come se si tratta di un personal computer anziché di una workstation per più utenti.A user or a set of users who expect to treat a system as if it were their personal computer rather than as a workstation for multiple users.
DOMAIN_ALIAS_RID_BACKUP_OPSDOMAIN_ALIAS_RID_BACKUP_OPS Gruppo locale utilizzato per controllare l'assegnazione dei diritti utente di backup e ripristino dei file.A local group that is used to control the assignment of file backup-and-restore user rights.
DOMAIN_ALIAS_RID_REPLICATORDOMAIN_ALIAS_RID_REPLICATOR Gruppo locale responsabile della copia dei database di protezione dal controller di dominio primario ai controller di dominio di backup.A local group that is responsible for copying security databases from the primary domain controller to the backup domain controllers. Questi account vengono utilizzati solo dal sistema.These accounts are used only by the system.
DOMAIN_ALIAS_RID_RAS_SERVERSDOMAIN_ALIAS_RID_RAS_SERVERS Gruppo locale che rappresenta l'accesso remoto e i server che eseguono il servizio IAS (Internet Authentication Service).A local group that represents remote access and servers running Internet Authentication Service (IAS). Questo gruppo consente l'accesso a vari attributi degli oggetti Utente.This group permits access to various attributes of User objects.

Modifiche alla funzionalità degli identificatori di sicurezzaChanges in security identifier's functionality

Nella tabella seguente vengono descritte le modifiche apportate all'implementazione del SID nei sistemi operativi Windows designati nell'elenco.The following table describes changes in SID implementation in the Windows operating systems that are designated in the list.

ModificaChange Versione del sistema operativoOperating system version Descrizione e risorseDescription and resources
La maggior parte dei file del sistema operativo è di proprietà dell'identificatore di sicurezza (SID) TrustedInstallerMost of the operating system files are owned by the TrustedInstaller security identifier (SID) Windows Server 2008, Windows VistaWindows Server 2008, Windows Vista Lo scopo di questa modifica è impedire a un processo in esecuzione come amministratore o con l'account LocalSystem di sostituire automaticamente i file del sistema operativo.The purpose of this change is to prevent a process that is running as an administrator or under the LocalSystem account from automatically replacing the operating system files.
Vengono implementati controlli SID con restrizioniRestricted SID checks are implemented Windows Server 2008, Windows VistaWindows Server 2008, Windows Vista Quando si limitano i SID, Windows esegue due controlli di accesso.When restricting SIDs are present, Windows performs two access checks. Il primo è il normale controllo di accesso e il secondo è lo stesso controllo di accesso per i SID di limitazione nel token.The first is the normal access check, and the second is the same access check against the restricting SIDs in the token. Entrambi i controlli di accesso devono essere passati per consentire al processo di accedere all'oggetto.Both access checks must pass to allow the process to access the object.

SID delle funzionalitàCapability SIDs

Gli identificatori di sicurezza (SID) delle funzionalità vengono utilizzati per identificare in modo univoco e immutabile le funzionalità.Capability Security Identifiers (SIDs) are used to uniquely and immutably identify capabilities. Le funzionalità rappresentano un token irreversibile di autorità che concede l'accesso alle risorse (esempi: documenti, fotocamera, posizioni e così via) alle applicazioni di Windows universali.Capabilities represent an unforgeable token of authority that grants access to resources (Examples: documents, camera, locations etc...) to Universal Windows Applications. A un'app che "ha" una funzionalità viene concesso l'accesso alla risorsa a cui è associata la funzionalità e a un'app che "non dispone" di una funzionalità viene negato l'accesso alla risorsa.An App that “has” a capability is granted access to the resource the capability is associated with, and one that “does not have” a capability is denied access to the resource.

Tutti i SID delle funzionalità noti al sistema operativo vengono archiviati nel Registro di sistema di Windows nel percorso 'HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities'.All Capability SIDs that the operating system is aware of are stored in the Windows Registry in the path `HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities'. Qualsiasi SID di funzionalità aggiunto a Windows da applicazioni di prima o di terze parti verrà aggiunto a questo percorso.Any Capability SID added to Windows by first or third-party applications will be added to this location.

Esempi di chiavi del Registro di sistema prese da Windows 10 versione 1909, edizione Enterprise a 64 bitExamples of registry keys taken from Windows 10, version 1909, 64-bit Enterprise edition

In AllCachedCapabilities potrebbero essere disponibili le seguenti chiavi del Registro di sistema:You may see the following registry keys under AllCachedCapabilities:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities\capabilityClass_DevUnlock HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities\capabilityClass_DevUnlock_Internal HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities\capabilityClass_Enterprise HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities\capabilityClass_General HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities\capabilityClass_Restricted HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities\capabilityClass_WindowsHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities\capabilityClass_DevUnlock HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities\capabilityClass_DevUnlock_Internal HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities\capabilityClass_Enterprise HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities\capabilityClass_General HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities\capabilityClass_Restricted HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities\capabilityClass_Windows

Tutti i SID delle funzionalità hanno il prefisso S-1-15-3All Capability SIDs are prefixed by S-1-15-3

Vedi ancheSee also