Identificatori di sicurezzaSecurity identifiers

Si applica aApplies to

  • Windows10Windows 10
  • Windows Server 2016Windows Server 2016

Questo argomento per il professionista IT descrive gli identificatori di sicurezza e il loro funzionamento per quanto riguarda gli account e i gruppi nel sistema operativo Windows.This topic for the IT professional describes security identifiers and how they work in regards to accounts and groups in the Windows operating system.

Che cosa sono gli identificatori di sicurezza?What are security identifiers?

Un identificatore di sicurezza (SID) viene usato per identificare in modo univoco un'identità di sicurezza o un gruppo di sicurezza.A security identifier (SID) is used to uniquely identify a security principal or security group. Le entità di sicurezza possono rappresentare qualsiasi entità che può essere autenticata dal sistema operativo, ad esempio un account utente, un account computer o un thread o un processo che viene eseguito nel contesto di sicurezza di un account utente o computer.Security principals can represent any entity that can be authenticated by the operating system, such as a user account, a computer account, or a thread or process that runs in the security context of a user or computer account.

Ogni account o gruppo o processo in esecuzione nel contesto di sicurezza dell'account ha un SID univoco emesso da un'autorità, ad esempio un controller di dominio Windows.Each account or group, or process running in the security context of the account, has a unique SID that is issued by an authority, such as a Windows domain controller. È archiviato in un database di sicurezza.It is stored in a security database. Il sistema genera il SID che identifica un determinato account o gruppo al momento della creazione dell'account o del gruppo.The system generates the SID that identifies a particular account or group at the time the account or group is created. Quando un SID è stato usato come identificatore univoco per un utente o un gruppo, non potrà mai più essere usato per identificare un altro utente o gruppo.When a SID has been used as the unique identifier for a user or group, it can never be used again to identify another user or group.

Ogni volta che un utente accede, il sistema crea un token di accesso per l'utente.Each time a user signs in, the system creates an access token for that user. Il token di accesso contiene il SID dell'utente, i diritti utente e i SID per tutti i gruppi a cui appartiene l'utente.The access token contains the user's SID, user rights, and the SIDs for any groups the user belongs to. Questo token fornisce il contesto di sicurezza per tutte le azioni eseguite dall'utente nel computer in uso.This token provides the security context for whatever actions the user performs on that computer.

Oltre ai SID specifici del dominio creati in modo univoco e assegnati a utenti e gruppi specifici, sono presenti SID noti che identificano i gruppi generici e gli utenti generici.In addition to the uniquely created, domain-specific SIDs that are assigned to specific users and groups, there are well-known SIDs that identify generic groups and generic users. Ad esempio, i SID Everyone e World identificano un gruppo che include tutti gli utenti.For example, the Everyone and World SIDs identify a group that includes all users. I SID noti hanno valori che rimangono costanti in tutti i sistemi operativi.Well-known SIDs have values that remain constant across all operating systems.

I SID sono un blocco predefinito fondamentale del modello di sicurezza di Windows.SIDs are a fundamental building block of the Windows security model. Utilizzano componenti specifici delle tecnologie di autorizzazione e controllo Access nell'infrastruttura di sicurezza dei sistemi operativi Windows Server.They work with specific components of the authorization and access control technologies in the security infrastructure of the Windows Server operating systems. Questo consente di proteggere l'accesso alle risorse di rete e offre un ambiente di elaborazione più sicuro.This helps protect access to network resources and provides a more secure computing environment.

Il contenuto di questo argomento si applica ai computer che eseguono le versioni supportate del sistema operativo Windows, come indicato nell'elenco si applica a all'inizio di questo argomento.The content in this topic applies to computers that are running the supported versions of the Windows operating system as designated in the Applies To list at the beginning of this topic.

Funzionamento degli identificatori di sicurezzaHow security identifiers work

Gli utenti si riferiscono agli account usando il nome dell'account, ma il sistema operativo si riferisce internamente agli account e ai processi eseguiti nel contesto di sicurezza dell'account usando i loro identificatori di sicurezza (SID).Users refer to accounts by using the account name, but the operating system internally refers to accounts and processes that run in the security context of the account by using their security identifiers (SIDs). Per gli account di dominio, il SID di un'entità di sicurezza viene creato concatenando il SID del dominio con un identificatore relativo (RID) per l'account.For domain accounts, the SID of a security principal is created by concatenating the SID of the domain with a relative identifier (RID) for the account. I SID sono univoci nel loro ambito (Domain o local) e non vengono mai riutilizzati.SIDs are unique within their scope (domain or local), and they are never reused.

Il sistema operativo genera un SID che identifica un determinato account o gruppo al momento della creazione dell'account o del gruppo.The operating system generates a SID that identifies a particular account or group at the time the account or group is created. Il SID per un account o un gruppo locale viene generato dall'autorità di sicurezza locale nel computer e archiviato con altre informazioni sull'account in un'area sicura del registro di sistema.The SID for a local account or group is generated by the Local Security Authority (LSA) on the computer, and it is stored with other account information in a secure area of the registry. Il SID per un account di dominio o un gruppo viene generato dall'autorità di sicurezza del dominio ed è archiviato come attributo dell'utente o dell'oggetto gruppo in servizi di dominio Active Directory.The SID for a domain account or group is generated by the domain security authority, and it is stored as an attribute of the User or Group object in Active Directory Domain Services.

Per ogni account e gruppo locale, il SID è univoco per il computer in cui è stato creato.For every local account and group, the SID is unique for the computer where it was created. Due account o gruppi nel computer condividono sempre lo stesso SID.No two accounts or groups on the computer ever share the same SID. Allo stesso modo, per ogni account di dominio e gruppo, il SID è univoco all'interno di un'organizzazione.Likewise, for every domain account and group, the SID is unique within an enterprise. Ciò significa che il SID per un account o un gruppo creato in un dominio non corrisponderà mai al SID per un account o un gruppo creato in un altro dominio dell'organizzazione.This means that the SID for an account or group that is created in one domain will never match the SID for an account or group created in any other domain in the enterprise.

I SID rimangono sempre univoci.SIDs always remain unique. Le autorità di sicurezza non rilasciano mai lo stesso SID due volte e non riusano mai i SID per gli account eliminati.Security authorities never issue the same SID twice, and they never reuse SIDs for deleted accounts. Ad esempio, se un utente con un account utente in un dominio Windows lascia il suo lavoro, un amministratore Elimina il proprio account di Active Directory, incluso il SID che identifica l'account.For example, if a user with a user account in a Windows domain leaves her job, an administrator deletes her Active Directory account, including the SID that identifies the account. Se successivamente restituisce un processo diverso nella stessa società, un amministratore crea un nuovo account e il sistema operativo Windows Server genera un nuovo SID.If she later returns to a different job at the same company, an administrator creates a new account, and the Windows Server operating system generates a new SID. Il nuovo SID non corrisponde a quello precedente; quindi, nessuno degli accessi dell'utente dal vecchio account viene trasferito nel nuovo account.The new SID does not match the old one; so none of the user's access from her old account is transferred to the new account. I due account rappresentano due identità di sicurezza completamente diverse.Her two accounts represent two completely different security principals.

Architettura degli identificatori di sicurezzaSecurity identifier architecture

Un identificatore di sicurezza è una struttura di dati in formato binario che contiene un numero variabile di valori.A security identifier is a data structure in binary format that contains a variable number of values. I primi valori della struttura contengono informazioni sulla struttura SID.The first values in the structure contain information about the SID structure. I valori rimanenti sono disposti in una gerarchia (simile a un numero di telefono) e identificano l'autorità emittente del SID, ad esempio "NT Authority", il dominio di emissione del SID e una particolare entità o gruppo di sicurezza.The remaining values are arranged in a hierarchy (similar to a telephone number), and they identify the SID-issuing authority (for example, “NT Authority”), the SID-issuing domain, and a particular security principal or group. L'immagine seguente illustra la struttura di un SID.The following image illustrates the structure of a SID.

I singoli valori di un SID sono descritti nella tabella seguente.The individual values of a SID are described in the following table.

CommentComment DescrizioneDescription
RevisioneRevision Indica la versione della struttura SID utilizzata in un determinato SID.Indicates the version of the SID structure that is used in a particular SID.
Autorità di identificazioneIdentifier authority Identifica il livello più alto di autorità che può emettere SID per un determinato tipo di entità di sicurezza.Identifies the highest level of authority that can issue SIDs for a particular type of security principal. Ad esempio, il valore Authority identificatore nel SID per il gruppo Everyone è 1 (autorità mondiale).For example, the identifier authority value in the SID for the Everyone group is 1 (World Authority). Il valore dell'autorità identificatore nel SID per un account o un gruppo specifico di Windows Server è 5 (autorità NT).The identifier authority value in the SID for a specific Windows Server account or group is 5 (NT Authority).
SottoautoritàSubauthorities >contiene le informazioni più importanti in un SID, contenute in una serie di uno o più valori di subauthorità.>Holds the most important information in a SID, which is contained in a series of one or more subauthority values. Tutti i valori fino a, ma non incluso, l'ultimo valore della serie identificano collettivamente un dominio in un'organizzazione.All values up to, but not including, the last value in the series collectively identify a domain in an enterprise. Questa parte della serie è denominata identificatore di dominio.This part of the series is called the domain identifier. L'ultimo valore della serie, denominato identificatore relativo (RID), identifica un determinato account o gruppo relativo a un dominio.The last value in the series, which is called the relative identifier (RID), identifies a particular account or group relative to a domain.

I componenti di un SID sono più facili da visualizzare quando i SID vengono convertiti da un file binario in formato stringa usando la notazione standard:The components of a SID are easier to visualize when SIDs are converted from a binary to a string format by using standard notation:

S-R-X-Y1-Y2-Yn-1-Yn

In questa notazione i componenti di un SID sono rappresentati come illustrato nella tabella seguente.In this notation, the components of a SID are represented as shown in the following table.

CommentComment DescrizioneDescription
SS Indica che la stringa è un SIDIndicates that the string is a SID
RR Indica il livello di RevisioneIndicates the revision level
XX Indica il valore dell'autorità identificatoreIndicates the identifier authority value
YY Rappresenta una serie di valori di subauthorità, dove n è il numero di valoriRepresents a series of subauthority values, where n is the number of values

Le informazioni più importanti di SID sono contenute nella serie di valori di subauthorità.The SID's most important information is contained in the series of subauthority values. La prima parte della serie (-Y1-Y2-Yn-1) è l'identificatore di dominio.The first part of the series (-Y1-Y2-Yn-1) is the domain identifier. Questo elemento del SID diventa significativo in un'organizzazione con diversi domini, perché l'identificatore di dominio differenzia i SID emessi da un dominio da SID emessi da tutti gli altri domini dell'organizzazione.This element of the SID becomes significant in an enterprise with several domains, because the domain identifier differentiates SIDs that are issued by one domain from SIDs that are issued by all other domains in the enterprise. Nessun due domini in un'organizzazione condividono lo stesso identificatore di dominio.No two domains in an enterprise share the same domain identifier.

L'ultimo elemento della serie di valori di subauthorità (-Yn) è l'identificatore relativo.The last item in the series of subauthority values (-Yn) is the relative identifier. Distingue un account o un gruppo da tutti gli altri account e gruppi nel dominio.It distinguishes one account or group from all other accounts and groups in the domain. Due account o gruppi in qualsiasi dominio condividono lo stesso identificatore relativo.No two accounts or groups in any domain share the same relative identifier.

Ad esempio, il SID per il gruppo Administrators predefinito è rappresentato nella notazione SID standardizzata come la stringa seguente:For example, the SID for the built-in Administrators group is represented in standardized SID notation as the following string:

S-1-5-32-544

Questo SID include quattro componenti:This SID has four components:

  • Livello di revisione (1)A revision level (1)

  • Un valore di autorità identificatore (5, autorità NT)An identifier authority value (5, NT Authority)

  • Un identificatore di dominio (32, Builtin)A domain identifier (32, Builtin)

  • Un identificatore relativo (544, amministratori)A relative identifier (544, Administrators)

I SID per gli account e i gruppi predefiniti hanno sempre lo stesso valore dell'identificatore di dominio: 32.SIDs for built-in accounts and groups always have the same domain identifier value: 32. Questo valore identifica il dominio incorporato, che esiste in tutti i computer in cui è in esecuzione una versione del sistema operativo Windows Server.This value identifies the domain Builtin, which exists on every computer that is running a version of the Windows Server operating system. Non è mai necessario distinguere gli account e i gruppi predefiniti di un computer dagli account e i gruppi predefiniti di un altro computer perché sono locali nell'ambito.It is never necessary to distinguish one computer's built-in accounts and groups from another computer's built-in accounts and groups because they are local in scope. Sono locali per un singolo computer o, nel caso di Domain controller per un dominio di rete, sono locali per diversi computer che agiscono come uno.They are local to a single computer, or in the case of domain controllers for a network domain, they are local to several computers that are acting as one.

Gli account predefiniti e i gruppi devono essere distinti l'uno dall'altro nell'ambito del dominio incorporato .Built-in accounts and groups need to be distinguished from one another within the scope of the Builtin domain. Di conseguenza, il SID per ogni account e gruppo ha un identificatore relativo univoco.Therefore, the SID for each account and group has a unique relative identifier. Un valore identificatore relativo di 544 è univoco per il gruppo Administrators predefinito.A relative identifier value of 544 is unique to the built-in Administrators group. Nessun altro account o gruppo nel dominio incorporato ha un SID con un valore finale di 544.No other account or group in the Builtin domain has a SID with a final value of 544.

In un altro esempio, prendere in considerazione il SID per il gruppo globale, Domain Admins.In another example, consider the SID for the global group, Domain Admins. Ogni dominio di un'organizzazione ha un gruppo Domain Admins e il SID per ogni gruppo è diverso.Every domain in an enterprise has a Domain Admins group, and the SID for each group is different. L'esempio seguente rappresenta il SID per il gruppo Domain Admins nel dominio contoso, Ltd. (Contoso\Domain Admins):The following example represents the SID for the Domain Admins group in the Contoso, Ltd. domain (Contoso\Domain Admins):

S-1-5-21-1004336348-1177238915-682003330-512

Il SID per gli amministratori di Contoso\Domain è:The SID for Contoso\Domain Admins has:

  • Livello di revisione (1)A revision level (1)

  • Autorità di identificazione (5, autorità NT)An identifier authority (5, NT Authority)

  • Un identificatore di dominio (21-1004336348-1177238915-682003330, contoso)A domain identifier (21-1004336348-1177238915-682003330, Contoso)

  • Un identificatore relativo (512, Domain Admins)A relative identifier (512, Domain Admins)

Il SID per gli amministratori di Contoso\Domain è distinto dai SID per gli altri gruppi di Domain Admins della stessa organizzazione per il suo identificatore di dominio: 21-1004336348-1177238915-682003330.The SID for Contoso\Domain Admins is distinguished from the SIDs for other Domain Admins groups in the same enterprise by its domain identifier: 21-1004336348-1177238915-682003330. Nessun altro dominio nell'organizzazione usa questo valore come identificatore di dominio.No other domain in the enterprise uses this value as its domain identifier. Il SID per gli amministratori di Contoso\Domain è distinto dai SID per gli altri account e gruppi creati nel dominio contoso dall'identificatore relativo, 512.The SID for Contoso\Domain Admins is distinguished from the SIDs for other accounts and groups that are created in the Contoso domain by its relative identifier, 512. Nessun altro account o gruppo nel dominio ha un SID con un valore finale di 512.No other account or group in the domain has a SID with a final value of 512.

Assegnazione dell'identificatore relativoRelative identifier allocation

Quando gli account e i gruppi sono archiviati in un database di account gestito da un gestore di account di sicurezza locale (SAM), è abbastanza facile per il sistema generare un identificatore relativo univoco per ogni account e in un gruppo creato in un computer autonomo.When accounts and groups are stored in an account database that is managed by a local Security Accounts Manager (SAM), it is fairly easy for the system to generate a unique relative identifier for each account and in a group that it creates on a stand-alone computer. Il SAM in un computer autonomo può tenere traccia dei valori degli identificatori relativi usati prima e assicurarsi che non li usi più.The SAM on a stand-alone computer can track the relative identifier values that it has used before and make sure that it never uses them again.

In un dominio di rete, tuttavia, la generazione di identificatori relativi univoci è un processo più complesso.In a network domain, however, generating unique relative identifiers is a more complex process. I domini di rete di Windows Server possono avere diversi controller di dominio.Windows Server network domains can have several domain controllers. Ogni controller di dominio archivia le informazioni sull'account di Active Directory.Each domain controller stores Active Directory account information. Questo significa che, in un dominio di rete, sono presenti altrettante copie del database dell'account in quanto sono presenti controller di dominio.This means that, in a network domain, there are as many copies of the account database as there are domain controllers. Oltre a questo, ogni copia del database dell'account è una copia master.In addition to this, every copy of the account database is a master copy. È possibile creare nuovi account e gruppi in qualsiasi controller di dominio.New accounts and groups can be created on any domain controller. Le modifiche apportate a Active Directory in un controller di dominio vengono replicate in tutti gli altri controller di dominio del dominio.Changes that are made to Active Directory on one domain controller are replicated to all other domain controllers in the domain. Il processo di replica delle modifiche in una copia master del database dell'account in tutte le altre copie master è denominato operazione multimaster.The process of replicating changes in one master copy of the account database to all other master copies is called a multimaster operation.

Il processo di generazione di identificatori relativi univoci è un'operazione con un solo master.The process of generating unique relative identifiers is a single-master operation. A un controller di dominio viene assegnato il ruolo di master dell'identificatore relativo (RID) e viene allocata una sequenza di identificatori relativi a ogni controller di dominio nel dominio.One domain controller is assigned the role of relative identifier (RID) master, and it allocates a sequence of relative identifiers to each domain controller in the domain. Quando viene creato un nuovo account o gruppo di dominio in una replica di un controller di dominio di Active Directory, viene assegnato un SID.When a new domain account or group is created in one domain controller's replica of Active Directory, it is assigned a SID. L'identificatore relativo per il nuovo SID viene ricavato dall'allocazione del controller di dominio degli identificatori relativi.The relative identifier for the new SID is taken from the domain controller's allocation of relative identifiers. Quando l'approvvigionamento degli identificatori relativi inizia a essere eseguito in basso, il controller di dominio richiede un altro blocco dal master RID.When its supply of relative identifiers begins to run low, the domain controller requests another block from the RID master.

Ogni controller di dominio USA ogni valore in un blocco di identificatori relativi una sola volta.Each domain controller uses each value in a block of relative identifiers only once. Il master RID alloca ogni blocco di valori di identificatore relativo una sola volta.The RID master allocates each block of relative identifier values only once. Questo processo assicura che ogni account e gruppo creato nel dominio disponga di un identificatore relativo univoco.This process assures that every account and group created in the domain has a unique relative identifier.

Identificatori di sicurezza e identificatori univoci globaliSecurity identifiers and globally unique identifiers

Quando viene creato un nuovo account utente o di gruppo di dominio, Active Directory archivia il SID dell'account nella proprietà objectSID di un utente o di un oggetto gruppo.When a new domain user or group account is created, Active Directory stores the account's SID in the ObjectSID property of a User or Group object. Assegna inoltre al nuovo oggetto un identificatore univoco globale (GUID), che è un valore di 128 bit univoco non solo nell'organizzazione, ma anche in tutto il mondo.It also assigns the new object a globally unique identifier (GUID), which is a 128-bit value that is unique not only in the enterprise, but also across the world. I GUID vengono assegnati a ogni oggetto creato da Active Directory, non solo agli oggetti utente e gruppo.GUIDs are assigned to every object that is created by Active Directory, not only User and Group objects. Il GUID di ogni oggetto viene archiviato nella relativa proprietà objectGUID .Each object's GUID is stored in its ObjectGUID property.

Active Directory usa i GUID internamente per identificare gli oggetti.Active Directory uses GUIDs internally to identify objects. Ad esempio, il GUID è una delle proprietà di un oggetto pubblicate nel catalogo globale.For example, the GUID is one of an object's properties that is published in the global catalog. Se si esegue una ricerca nel catalogo globale di un oggetto utente, il GUID produce risultati se l'utente ha un account da qualche parte nell'organizzazione.Searching the global catalog for a User object GUID produces results if the user has an account somewhere in the enterprise. In effetti, la ricerca di qualsiasi oggetto da parte di objectGUID potrebbe essere il modo più affidabile per trovare l'oggetto che si vuole individuare.In fact, searching for any object by ObjectGUID might be the most reliable way of finding the object you want to locate. I valori di altre proprietà dell'oggetto possono cambiare, ma la proprietà objectGUID non cambia mai.The values of other object properties can change, but the ObjectGUID property never changes. Quando a un oggetto viene assegnato un GUID, il valore viene mantenuto per la durata.When an object is assigned a GUID, it keeps that value for life.

Se un utente si sposta da un dominio a un altro, l'utente riceverà un nuovo SID.If a user moves from one domain to another, the user gets a new SID. Il SID di un oggetto gruppo non cambia perché i gruppi rimangono nel dominio in cui sono stati creati.The SID for a group object does not change because groups stay in the domain where they were created. Tuttavia, se gli utenti si spostano, i loro account possono essere spostati.However, if people move, their accounts can move with them. Se un dipendente si sposta dal Nord America all'Europa, ma rimane nella stessa società, un amministratore dell'organizzazione può spostare l'oggetto utente del dipendente, ad esempio Contoso\NoAm in Contoso\Europe.If an employee moves from North America to Europe, but stays in the same company, an administrator for the enterprise can move the employee's User object from, for example, Contoso\NoAm to Contoso\Europe. Se l'amministratore esegue questa operazione, l'oggetto utente per l'account richiede un nuovo SID.If the administrator does this, the User object for the account needs a new SID. La parte dell'identificatore di dominio di un SID emesso in NoAm è univoca per NoAm; quindi il SID per l'account dell'utente in Europa ha un identificatore di dominio diverso.The domain identifier portion of a SID that is issued in NoAm is unique to NoAm; so the SID for the user's account in Europe has a different domain identifier. La parte dell'identificatore relativo di un SID è univoca rispetto al dominio; quindi, se il dominio cambia, viene modificato anche l'identificatore relativo.The relative identifier portion of a SID is unique relative to the domain; so if the domain changes, the relative identifier also changes.

Quando un oggetto utente si sposta da un dominio a un altro, è necessario che venga generato un nuovo SID per l'account utente e archiviato nella proprietà objectSID .When a User object moves from one domain to another, a new SID must be generated for the user account and stored in the ObjectSID property. Prima che il nuovo valore venga scritto nella proprietà, il valore precedente viene copiato in un'altra proprietà di un oggetto utente, sIDHistory.Before the new value is written to the property, the previous value is copied to another property of a User object, SIDHistory. Questa proprietà può contenere più valori.This property can hold multiple values. Ogni volta che un oggetto utente si sposta in un altro dominio, viene generato e archiviato un nuovo SID nella proprietà objectSID e un altro valore viene aggiunto all'elenco dei SID precedenti in sIDHistory.Each time a User object moves to another domain, a new SID is generated and stored in the ObjectSID property, and another value is added to the list of old SIDs in SIDHistory. Quando un utente effettua l'accesso e viene autenticato correttamente, il servizio di autenticazione del dominio esegue una query in Active Directory per tutti i SID associati all'utente, inclusi il SID corrente dell'utente, i SID precedenti dell'utente e i SID per i gruppi dell'utente.When a user signs in and is successfully authenticated, the domain authentication service queries Active Directory for all the SIDs that are associated with the user, including the user's current SID, the user's old SIDs, and the SIDs for the user's groups. Tutti questi SID vengono restituiti al client di autenticazione e sono inclusi nel token di accesso dell'utente.All these SIDs are returned to the authentication client, and they are included in the user's access token. Quando l'utente tenta di accedere a una risorsa, uno dei SID del token di accesso (incluso uno dei SID in sIDHistory) può consentire o negare l'accesso dell'utente.When the user tries to gain access to a resource, any one of the SIDs in the access token (including one of the SIDs in SIDHistory), can allow or deny the user access.

Se consentirai o neghi l'accesso degli utenti a una risorsa in base ai loro processi, dovresti consentire o negare l'accesso a un gruppo, non a un singolo utente.If you allow or deny users' access to a resource based on their jobs, you should allow or deny access to a group, not to an individual. In questo modo, quando gli utenti modificano i processi o si spostano in altri reparti, è possibile modificare facilmente l'accesso, rimuoverli da determinati gruppi e aggiungerli ad altri.That way, when users change jobs or move to other departments, you can easily adjust their access by removing them from certain groups and adding them to others.

Tuttavia, se consentirai o neghi a un singolo utente l'accesso alle risorse, probabilmente vorrai che l'accesso dell'utente rimanga invariato, indipendentemente dal numero di modifiche apportate dal dominio dell'account dell'utente.However, if you allow or deny an individual user access to resources, you probably want that user's access to remain the same no matter how many times the user's account domain changes. La proprietà sIDHistory lo rende possibile.The SIDHistory property makes this possible. Quando un utente cambia i domini, non è necessario modificare l'elenco di controllo di accesso (ACL) in qualsiasi risorsa.When a user changes domains, there is no need to change the access control list (ACL) on any resource. Se un ACL include il SID precedente dell'utente, ma non quello nuovo, il SID precedente si trova ancora nel token di accesso dell'utente.If an ACL has the user's old SID, but not the new one, the old SID is still in the user's access token. È elencato tra i SID per i gruppi dell'utente e all'utente viene concesso o negato l'accesso in base al SID precedente.It is listed among the SIDs for the user's groups, and the user is granted or denied access based on the old SID.

SID notiWell-known SIDs

I valori di determinati SID sono costanti in tutti i sistemi.The values of certain SIDs are constant across all systems. Vengono creati quando il sistema operativo o il dominio è installato.They are created when the operating system or domain is installed. Si chiamano SID noti perché identificano utenti generici o gruppi generici.They are called well-known SIDs because they identify generic users or generic groups.

Esistono SID noti universali che sono significativi in tutti i sistemi sicuri che usano questo modello di sicurezza, inclusi i sistemi operativi diversi da Windows.There are universal well-known SIDs that are meaningful on all secure systems that use this security model, including operating systems other than Windows. Esistono inoltre SID noti che sono significativi solo nei sistemi operativi Windows.In addition, there are well-known SIDs that are meaningful only on Windows operating systems.

Nella tabella seguente sono elencati i SID noti universali.The following table lists the universal well-known SIDs.

ValoreValue SID noto universaleUniversal Well-Known SID IdentificaIdentifies
S-1-0-0S-1-0-0 SID NULLNull SID Un gruppo senza membri.A group with no members. Questo viene spesso usato quando non si conosce un valore SID.This is often used when a SID value is not known.
S-1-1-0S-1-1-0 WorldWorld Gruppo che include tutti gli utenti.A group that includes all users.
S-1-2-0S-1-2-0 LocaliLocal Utenti che accedono ai terminali localmente (fisicamente) collegati al sistema.Users who log on to terminals that are locally (physically) connected to the system.
S-1-2-1S-1-2-1 Accesso alla consoleConsole Logon Gruppo che include gli utenti che hanno effettuato l'accesso alla console fisica.A group that includes users who are logged on to the physical console.
S-1-3-0S-1-3-0 ID proprietario CreatorCreator Owner ID Un identificatore di sicurezza che deve essere sostituito dall'identificatore di sicurezza dell'utente che ha creato un nuovo oggetto.A security identifier to be replaced by the security identifier of the user who created a new object. Questo SID viene usato nelle voci ACE ereditabili.This SID is used in inheritable ACEs.
S-1-3-1S-1-3-1 ID gruppo creatoreCreator Group ID Un identificatore di sicurezza che deve essere sostituito dal SID del gruppo principale dell'utente che ha creato un nuovo oggetto.A security identifier to be replaced by the primary-group SID of the user who created a new object. Usa questo SID in voci ACE ereditabili.Use this SID in inheritable ACEs.
S-1-3-2S-1-3-2 Creator Owner serverCreator Owner Server
S-1-3-3S-1-3-3 Server gruppo CreatorCreator Group Server
S-1-3-4S-1-3-4 Diritti del proprietarioOwner Rights Gruppo che rappresenta il proprietario corrente dell'oggetto.A group that represents the current owner of the object. Quando una voce ACE che trasporta questo SID viene applicata a un oggetto, il sistema ignora le autorizzazioni implicite READ_CONTROL e WRITE_DAC per il proprietario dell'oggetto.When an ACE that carries this SID is applied to an object, the system ignores the implicit READ_CONTROL and WRITE_DAC permissions for the object owner.
S-1-4S-1-4 Autorità non univocaNon-unique Authority Un SID che rappresenta un'autorità identificatore.A SID that represents an identifier authority.
S-1-5S-1-5 Autorità NTNT Authority Un SID che rappresenta un'autorità identificatore.A SID that represents an identifier authority.
S-1-5-80-0S-1-5-80-0 Tutti i serviziAll Services Gruppo che include tutti i processi di servizio configurati nel sistema.A group that includes all service processes configured on the system. L'appartenenza è controllata dal sistema operativo.Membership is controlled by the operating system.

La tabella seguente elenca le costanti dell'autorità di identificazione predefinite.The following table lists the predefined identifier authority constants. I primi quattro valori vengono usati con SID noti universali e l'ultimo valore viene usato con SID noti nei sistemi operativi Windows designati nell'elenco si applica a .The first four values are used with universal well-known SIDs, and the last value is used with well-known SIDs in Windows operating systems designated in the Applies To list.

Autorità di identificazioneIdentifier Authority ValoreValue Prefisso della stringa SIDSID String Prefix
SECURITY_NULL_SID_AUTHORITYSECURITY_NULL_SID_AUTHORITY 00 S-1-0S-1-0
SECURITY_WORLD_SID_AUTHORITYSECURITY_WORLD_SID_AUTHORITY 11 S-1-1S-1-1
SECURITY_LOCAL_SID_AUTHORITYSECURITY_LOCAL_SID_AUTHORITY 22 S-1-2S-1-2
SECURITY_CREATOR_SID_AUTHORITYSECURITY_CREATOR_SID_AUTHORITY 33 S-1-3S-1-3

I seguenti valori RID vengono usati con SID noti universali.The following RID values are used with universal well-known SIDs. Nella colonna identificatore Authority viene visualizzato il prefisso dell'identificatore Authority con cui è possibile combinare il RID per creare un SID noto universale.The Identifier authority column shows the prefix of the identifier authority with which you can combine the RID to create a universal well-known SID.

Autorità identificatore relativoRelative Identifier Authority ValoreValue Autorità di identificazioneIdentifier Authority
SECURITY_NULL_RIDSECURITY_NULL_RID 00 S-1-0S-1-0
SECURITY_WORLD_RIDSECURITY_WORLD_RID 00 S-1-1S-1-1
SECURITY_LOCAL_RIDSECURITY_LOCAL_RID 00 S-1-2S-1-2
SECURITY_CREATOR_OWNER_RIDSECURITY_CREATOR_OWNER_RID 00 S-1-3S-1-3
SECURITY_CREATOR_GROUP_RIDSECURITY_CREATOR_GROUP_RID 11 S-1-3S-1-3

La sicurezza \ _NT \ _AUTHORITY (S-1-5) identificatore predefinito produce SID che non sono universali e sono significativi solo nelle installazioni dei sistemi operativi Windows designati nell'elenco si applica a all'inizio di questo argomento.The SECURITY_NT_AUTHORITY (S-1-5) predefined identifier authority produces SIDs that are not universal and are meaningful only in installations of the Windows operating systems that are designated in the Applies To list at the beginning of this topic. La tabella seguente elenca i SID noti.The following table lists the well-known SIDs.

SIDSID Nome visualizzatoDisplay Name DescrizioneDescription
S-1-5-1S-1-5-1 DialupDialup Gruppo che include tutti gli utenti che hanno effettuato l'accesso al sistema tramite una connessione dial-up.A group that includes all users who are logged on to the system by means of a dial-up connection.
S-1-5-113S-1-5-113 Account localeLocal account È possibile usare questo SID quando si limita l'accesso alla rete agli account locali anziché "Administrator" o equivalente.You can use this SID when restricting network logon to local accounts instead of "administrator" or equivalent. Questo SID può essere efficace per bloccare l'accesso alla rete per gli utenti e i gruppi locali per tipo di account, indipendentemente dal nome in cui sono effettivamente denominati.This SID can be effective in blocking network logon for local users and groups by account type regardless of what they are actually named.
S-1-5-114S-1-5-114 Account locale e membro del gruppo AdministratorsLocal account and member of Administrators group È possibile usare questo SID quando si limita l'accesso alla rete agli account locali anziché "Administrator" o equivalente.You can use this SID when restricting network logon to local accounts instead of "administrator" or equivalent. Questo SID può essere efficace per bloccare l'accesso alla rete per gli utenti e i gruppi locali per tipo di account, indipendentemente dal nome in cui sono effettivamente denominati.This SID can be effective in blocking network logon for local users and groups by account type regardless of what they are actually named.
S-1-5-2S-1-5-2 ReteNetwork Gruppo che include tutti gli utenti che hanno effettuato l'accesso tramite una connessione di rete.A group that includes all users who are logged on by means of a network connection. I token di accesso per gli utenti interattivi non contengono il SID di rete.Access tokens for interactive users do not contain the Network SID.
S-1-5-3S-1-5-3 BatchBatch Gruppo che include tutti gli utenti che hanno effettuato l'accesso tramite una funzionalità di coda batch, ad esempio processi utilità di pianificazione.A group that includes all users who have logged on by means of a batch queue facility, such as task scheduler jobs.
S-1-5-4S-1-5-4 InterattivaInteractive Gruppo che include tutti gli utenti che accedono in modo interattivo.A group that includes all users who log on interactively. Un utente può avviare una sessione di accesso interattivo accedendo direttamente alla tastiera, aprendo una connessione di Servizi Desktop remoto da un computer remoto o usando una shell remota, ad esempio Telnet.A user can start an interactive logon session by logging on directly at the keyboard, by opening a Remote Desktop Services connection from a remote computer, or by using a remote shell such as Telnet. In ogni caso, il token di accesso dell'utente contiene il SID interattivo.In each case, the user's access token contains the Interactive SID. Se l'utente accede usando una connessione di Servizi Desktop remoto, il token di accesso dell'utente contiene anche il SID di accesso interattivo remoto.If the user signs in by using a Remote Desktop Services connection, the user's access token also contains the Remote Interactive Logon SID.
S-1-5-5- X-YS-1-5-5- X-Y Sessione di accessoLogon Session I valori X e Y per questi SID identificano in modo univoco una particolare sessione di accesso.The X and Y values for these SIDs uniquely identify a particular logon session.
S-1-5-6S-1-5-6 ServizioService Gruppo che include tutte le entità di sicurezza che hanno eseguito l'accesso come servizio.A group that includes all security principals that have signed in as a service.
S-1-5-7S-1-5-7 Accesso anonimoAnonymous Logon Un utente che si è connesso al computer senza fornire un nome utente e una password.A user who has connected to the computer without supplying a user name and password.
L'identità di accesso anonimo è diversa da quella usata da Internet Information Services (IIS) per Anonymous Web Access.The Anonymous Logon identity is different from the identity that is used by Internet Information Services (IIS) for anonymous web access. IIS usa un account effettivo, per impostazione predefinita, IUSR_ nomecomputer, per l'accesso anonimo alle risorse in un sito Web.IIS uses an actual account—by default, IUSR_ ComputerName, for anonymous access to resources on a website. A rigor di termini, tale accesso non è anonimo perché l'identità di sicurezza è nota anche se gli utenti non identificati usano l'account.Strictly speaking, such access is not anonymous because the security principal is known even though unidentified people are using the account. IUSR_ nomecomputer (o qualsiasi altro nome dell'account) ha una password e i registri di IIS nell'account al momento dell'avvio del servizio.IUSR_ ComputerName (or whatever you name the account) has a password, and IIS logs on the account when the service starts. Di conseguenza, l'utente "anonimo" di IIS è un membro di utenti autenticati, ma l'accesso anonimo non è.As a result, the IIS "anonymous" user is a member of Authenticated Users but Anonymous Logon is not.
S-1-5-8S-1-5-8 ProxyProxy Non è attualmente applicabile: questo SID non viene usato.Does not currently apply: this SID is not used.
S-1-5-9S-1-5-9 Controller di dominio aziendaleEnterprise Domain Controllers Gruppo che include tutti i controller di dominio in una foresta di domini.A group that includes all domain controllers in a forest of domains.
S-1-5-10S-1-5-10 AutoSelf Segnaposto in una voce ACE per un utente, un gruppo o un oggetto computer in Active Directory.A placeholder in an ACE for a user, group, or computer object in Active Directory. Quando si assegnano le autorizzazioni a self, è possibile concederle all'entità di sicurezza rappresentata dall'oggetto.When you grant permissions to Self, you grant them to the security principal that is represented by the object. Durante un controllo di Access, il sistema operativo sostituisce il SID per l'autonomia con il SID per l'entità di sicurezza rappresentata dall'oggetto.During an access check, the operating system replaces the SID for Self with the SID for the security principal that is represented by the object.
S-1-5-11S-1-5-11 Utenti autenticatiAuthenticated Users Gruppo che include tutti gli utenti e i computer con identità autenticate.A group that includes all users and computers with identities that have been authenticated. Gli utenti autenticati non includono Guest anche se l'account Guest ha una password.Authenticated Users does not include Guest even if the Guest account has a password.
Questo gruppo include le identità di sicurezza autenticate da qualsiasi dominio attendibile, non solo il dominio corrente.This group includes authenticated security principals from any trusted domain, not only the current domain.
S-1-5-12S-1-5-12 Codice con restrizioniRestricted Code Identità utilizzata da un processo in esecuzione in un contesto di sicurezza con restrizioni.An identity that is used by a process that is running in a restricted security context. Nei sistemi operativi Windows e Windows Server un criterio di restrizione software può assegnare uno dei tre livelli di sicurezza al codice: senza restrizioni, con restrizioni o non consentiti.In Windows and Windows Server operating systems, a software restriction policy can assign one of three security levels to code: unrestricted, restricted, or disallowed. Quando il codice viene eseguito a livello di sicurezza con restrizioni, il SID con restrizioni viene aggiunto al token di accesso dell'utente.When code runs at the restricted security level, the Restricted SID is added to the user's access token.
S-1-5-13S-1-5-13 Utente di Terminal ServerTerminal Server User Gruppo che include tutti gli utenti che accedono a un server con Servizi Desktop remoto abilitati.A group that includes all users who sign in to a server with Remote Desktop Services enabled.
S-1-5-14S-1-5-14 Accesso interattivo remotoRemote Interactive Logon Gruppo che include tutti gli utenti che accedono al computer usando una connessione Desktop remoto.A group that includes all users who log on to the computer by using a remote desktop connection. Questo gruppo è un sottoinsieme del gruppo interattivo.This group is a subset of the Interactive group. I token di accesso che contengono il SID di accesso interattivo remoto contengono anche il SID interattivo.Access tokens that contain the Remote Interactive Logon SID also contain the Interactive SID.
S-1-5-15S-1-5-15 Questa organizzazioneThis Organization Gruppo che include tutti gli utenti della stessa organizzazione.A group that includes all users from the same organization. Incluso solo con gli account di Active Directory e aggiunti solo da un controller di dominio.Only included with Active Directory accounts and only added by a domain controller.
S-1-5-17S-1-5-17 IIS_USRSIIS_USRS Un account usato dall'utente predefinito di Internet Information Services (IIS).An account that is used by the default Internet Information Services (IIS) user.
S-1-5-18S-1-5-18 System (o LocalSystem)System (or LocalSystem) Identità utilizzata localmente dal sistema operativo e dai servizi configurati per l'accesso come LocalSystem.An identity that is used locally by the operating system and by services that are configured to sign in as LocalSystem.
System è un membro nascosto degli amministratori.System is a hidden member of Administrators. Ovvero qualsiasi processo in esecuzione come sistema ha il SID per il gruppo Administrators predefinito nel relativo token di accesso.That is, any process running as System has the SID for the built-in Administrators group in its access token.
Quando un processo che viene eseguito localmente come sistema accede alle risorse di rete, lo fa usando l'identità del dominio del computer.When a process that is running locally as System accesses network resources, it does so by using the computer's domain identity. Il token di accesso nel computer remoto include il SID per l'account di dominio del computer locale e i SID per i gruppi di sicurezza a cui il computer fa parte, ad esempio i computer di dominio e gli utenti autenticati.Its access token on the remote computer includes the SID for the local computer's domain account plus SIDs for security groups that the computer is a member of, such as Domain Computers and Authenticated Users.
S-1-5-19S-1-5-19 Autorità NT (LocalService)NT Authority (LocalService) Un'identità usata dai servizi locali per il computer, non è necessaria per l'accesso locale esteso e non è necessario l'accesso alla rete autenticato.An identity that is used by services that are local to the computer, have no need for extensive local access, and do not need authenticated network access. I servizi eseguiti come LocalService accedono alle risorse locali come utenti comuni e accedono alle risorse di rete come utenti anonimi.Services that run as LocalService access local resources as ordinary users, and they access network resources as anonymous users. Di conseguenza, un servizio eseguito come LocalService ha molto meno autorità di un servizio che viene eseguito come LocalSystem localmente e in rete.As a result, a service that runs as LocalService has significantly less authority than a service that runs as LocalSystem locally and on the network.
S-1-5-20S-1-5-20 Servizio di reteNetwork Service Identità utilizzata da servizi che non richiedono l'accesso locale esteso, ma che richiedono l'accesso alla rete autenticato.An identity that is used by services that have no need for extensive local access but do need authenticated network access. I servizi in uso come NetworkService accedono alle risorse locali come utenti comuni e accedono alle risorse di rete usando l'identità del computer.Services running as NetworkService access local resources as ordinary users and access network resources by using the computer's identity. Di conseguenza, un servizio eseguito come NetworkService ha lo stesso accesso di rete di un servizio che viene eseguito come LocalSystem, ma ha un accesso locale significativamente ridotto.As a result, a service that runs as NetworkService has the same network access as a service that runs as LocalSystem, but it has significantly reduced local access.
S-1-5-Domain-500S-1-5-domain-500 AmministratoreAdministrator Un account utente per l'amministratore di sistema.A user account for the system administrator. Ogni computer ha un account di amministratore locale e ogni dominio ha un account di amministratore di dominio.Every computer has a local Administrator account and every domain has a domain Administrator account.
L'account Administrator è il primo account creato durante l'installazione del sistema operativo.The Administrator account is the first account created during operating system installation. L'account non può essere eliminato, disabilitato o bloccato, ma può essere rinominato.The account cannot be deleted, disabled, or locked out, but it can be renamed.
Per impostazione predefinita, l'account Administrator è un membro del gruppo Administrators e non può essere rimosso da tale gruppo.By default, the Administrator account is a member of the Administrators group, and it cannot be removed from that group.
S-1-5-Domain-501S-1-5-domain-501 GuestGuest Un account utente per le persone che non hanno singoli account.A user account for people who do not have individual accounts. Ogni computer ha un account Guest locale e ogni dominio ha un account Guest di dominio.Every computer has a local Guest account, and every domain has a domain Guest account.
Per impostazione predefinita, Guest è un membro del gruppo Everyone e guests.By default, Guest is a member of the Everyone and the Guests groups. L'account Guest di dominio è anche un membro dei gruppi Domain Guests e Domain Users.The domain Guest account is also a member of the Domain Guests and Domain Users groups.
Diversamente dall'accesso anonimo, Guest è un account reale e può essere usato per l'accesso interattivo.Unlike Anonymous Logon, Guest is a real account, and it can be used to log on interactively. L'account Guest non richiede una password, ma può averne una.The Guest account does not require a password, but it can have one.
S-1-5-Domain-502S-1-5-domain-502 krbtgtkrbtgt Un account utente usato dal servizio centro distribuzione chiavi (KDC).A user account that is used by the Key Distribution Center (KDC) service. L'account esiste solo nei controller di dominio.The account exists only on domain controllers.
S-1-5-Domain-512S-1-5-domain-512 Amministratori di dominioDomain Admins Gruppo globale con membri autorizzati ad amministrare il dominio.A global group with members that are authorized to administer the domain. Per impostazione predefinita, il gruppo Domain Admins è un membro del gruppo Administrators in tutti i computer a cui è stato aggiunto il dominio, inclusi i controller di dominio.By default, the Domain Admins group is a member of the Administrators group on all computers that have joined the domain, including domain controllers.
Domain Admins è il proprietario predefinito di qualsiasi oggetto creato in Active Directory del dominio da qualsiasi membro del gruppo.Domain Admins is the default owner of any object that is created in the domain's Active Directory by any member of the group. Se i membri del gruppo creano altri oggetti, ad esempio file, il proprietario predefinito è il gruppo Administrators.If members of the group create other objects, such as files, the default owner is the Administrators group.
S-1-5-Domain-513S-1-5-domain-513 Utenti di dominioDomain Users Gruppo globale che include tutti gli utenti di un dominio.A global group that includes all users in a domain. Quando crei un nuovo oggetto utente in Active Directory, l'utente viene aggiunto automaticamente a questo gruppo.When you create a new User object in Active Directory, the user is automatically added to this group.
S-1-5-Domain-514S-1-5-domain-514 Guest DomainDomain Guests Un gruppo globale, che per impostazione predefinita, ha un solo membro: l'account Guest predefinito del dominio.A global group, which by default, has only one member: the domain's built-in Guest account.
S-1-5-Domain-515S-1-5-domain-515 Computer di dominioDomain Computers Gruppo globale che include tutti i computer A cui è stato aggiunto il dominio, esclusi i domain controller.A global group that includes all computers that have joined the domain, excluding domain controllers.
S-1-5-Domain-516S-1-5-domain-516 Controller di dominioDomain Controllers Gruppo globale che include tutti i controller di dominio nel dominio.A global group that includes all domain controllers in the domain. I nuovi controller di dominio vengono aggiunti automaticamente al gruppo.New domain controllers are added to this group automatically.
S-1-5-Domain-517S-1-5-domain-517 Editori CERTCert Publishers Gruppo globale che include tutti i computer che ospitano un'autorità di certificazione aziendale.A global group that includes all computers that host an enterprise certification authority.
Gli editori CERT sono autorizzati a pubblicare certificati per gli oggetti utente in Active Directory.Cert Publishers are authorized to publish certificates for User objects in Active Directory.
S-1-5-dominio radice-518S-1-5-root domain-518 Amministratori dello schemaSchema Admins Gruppo che esiste solo nel dominio radice della foresta.A group that exists only in the forest root domain. Si tratta di un gruppo universale se il dominio è in modalità nativa ed è un gruppo globale se il dominio è in modalità mista.It is a universal group if the domain is in native mode, and it is a global group if the domain is in mixed mode. Il gruppo amministratori schema è autorizzato a apportare modifiche allo schema in Active Directory.The Schema Admins group is authorized to make schema changes in Active Directory. Per impostazione predefinita, l'unico membro del gruppo è l'account di amministratore per il dominio radice della foresta.By default, the only member of the group is the Administrator account for the forest root domain.
S-1-5-dominio radice-519S-1-5-root domain-519 Amministratori aziendaliEnterprise Admins Gruppo che esiste solo nel dominio radice della foresta.A group that exists only in the forest root domain. Si tratta di un gruppo universale se il dominio è in modalità nativa ed è un gruppo globale se il dominio è in modalità mista.It is a universal group if the domain is in native mode, and it is a global group if the domain is in mixed mode.
Il gruppo amministratori aziendali è autorizzato a modificare l'infrastruttura della foresta, ad esempio l'aggiunta di domini figlio, la configurazione dei siti, l'autorizzazione dei server DHCP e l'installazione delle autorità di certificazione aziendali.The Enterprise Admins group is authorized to make changes to the forest infrastructure, such as adding child domains, configuring sites, authorizing DHCP servers, and installing enterprise certification authorities.
Per impostazione predefinita, l'unico membro degli amministratori dell'organizzazione è l'account di amministratore per il dominio radice della foresta.By default, the only member of Enterprise Admins is the Administrator account for the forest root domain. Il gruppo è un membro predefinito di ogni gruppo Domain Admins nella foresta.The group is a default member of every Domain Admins group in the forest.
S-1-5-Domain-520S-1-5-domain-520 Proprietari di autori di criteri di gruppoGroup Policy Creator Owners Gruppo globale autorizzato a creare nuovi oggetti Criteri di gruppo in Active Directory.A global group that is authorized to create new Group Policy Objects in Active Directory. Per impostazione predefinita, l'unico membro del gruppo è Administrator.By default, the only member of the group is Administrator.
Gli oggetti creati dai membri dei proprietari di autori di criteri di gruppo sono di proprietà del singolo utente che li crea.Objects that are created by members of Group Policy Creator Owners are owned by the individual user who creates them. In questo modo, il gruppo proprietari creatori di criteri di gruppo è diverso da altri gruppi amministrativi (ad esempio amministratori e Domain Admins).In this way, the Group Policy Creator Owners group is unlike other administrative groups (such as Administrators and Domain Admins). Gli oggetti creati dai membri di questi gruppi sono di proprietà del gruppo anziché dell'individuo.Objects that are created by members of these groups are owned by the group rather than by the individual.
S-1-5-Domain-553S-1-5-domain-553 Server RAS e IASRAS and IAS Servers Un gruppo di dominio locale.A local domain group. Per impostazione predefinita, questo gruppo non ha membri.By default, this group has no members. I computer che eseguono il servizio Routing e accesso remoto vengono aggiunti automaticamente al gruppo.Computers that are running the Routing and Remote Access service are added to the group automatically.
I membri di questo gruppo hanno accesso a determinate proprietà degli oggetti utente, ad esempio leggere le restrizioni degli account, leggere le informazioni di accesso e leggere le informazioni di accesso remoto.Members of this group have access to certain properties of User objects, such as Read Account Restrictions, Read Logon Information, and Read Remote Access Information.
S-1-5-32-544S-1-5-32-544 AdministratorsAdministrators Un gruppo incorporato.A built-in group. Dopo l'installazione iniziale del sistema operativo, l'unico membro del gruppo è l'account di amministratore.After the initial installation of the operating system, the only member of the group is the Administrator account. Quando un computer entra in un dominio, il gruppo Domain Admins viene aggiunto al gruppo Administrators.When a computer joins a domain, the Domain Admins group is added to the Administrators group. Quando un server diventa un controller di dominio, anche il gruppo amministratori organizzazione viene aggiunto al gruppo Administrators.When a server becomes a domain controller, the Enterprise Admins group also is added to the Administrators group.
S-1-5-32-545S-1-5-32-545 UtentiUsers Un gruppo incorporato.A built-in group. Dopo l'installazione iniziale del sistema operativo, l'unico membro è il gruppo utenti autenticati.After the initial installation of the operating system, the only member is the Authenticated Users group.
S-1-5-32-546S-1-5-32-546 GuestGuests Un gruppo incorporato.A built-in group. Per impostazione predefinita, l'unico membro è l'account Guest.By default, the only member is the Guest account. Il gruppo Guests consente agli utenti occasionali o una tantum di accedere con privilegi limitati all'account Guest incorporato di un computer.The Guests group allows occasional or one-time users to log on with limited privileges to a computer's built-in Guest account.
S-1-5-32-547S-1-5-32-547 Power UsersPower Users Un gruppo incorporato.A built-in group. Per impostazione predefinita, il gruppo non ha membri.By default, the group has no members. Power Users può creare utenti e gruppi locali; modificare ed eliminare gli account creati; e Rimuovi utenti dai gruppi Power Users, Users e guests.Power users can create local users and groups; modify and delete accounts that they have created; and remove users from the Power Users, Users, and Guests groups. Power Users può anche installare programmi; creare, gestire ed eliminare stampanti locali; e creare ed eliminare condivisioni file.Power users also can install programs; create, manage, and delete local printers; and create and delete file shares.
S-1-5-32-548S-1-5-32-548 Operatori accountAccount Operators Gruppo predefinito che esiste solo nei controller di dominio.A built-in group that exists only on domain controllers. Per impostazione predefinita, il gruppo non ha membri.By default, the group has no members. Per impostazione predefinita, gli operatori di account hanno l'autorizzazione per creare, modificare ed eliminare account per utenti, gruppi e computer in tutti i contenitori e le unità organizzative di Active Directory, ad eccezione del contenitore incorporato e dell'unità organizzativa Domain controller.By default, Account Operators have permission to create, modify, and delete accounts for users, groups, and computers in all containers and organizational units of Active Directory except the Builtin container and the Domain Controllers OU. Gli operatori account non hanno l'autorizzazione per modificare i gruppi Administrators e Domain Admins, né hanno l'autorizzazione per modificare gli account per i membri di questi gruppi.Account Operators do not have permission to modify the Administrators and Domain Admins groups, nor do they have permission to modify the accounts for members of those groups.
S-1-5-32-549S-1-5-32-549 Operatori serverServer Operators Descrizione: gruppo incorporato che esiste solo nei controller di dominio.Description: A built-in group that exists only on domain controllers. Per impostazione predefinita, il gruppo non ha membri.By default, the group has no members. Gli operatori del server possono accedere a un server in modo interattivo; creare ed eliminare condivisioni di rete; avviare e arrestare i servizi; eseguire il backup e il ripristino dei file; formattare il disco rigido del computer; e arrestare il computer.Server Operators can log on to a server interactively; create and delete network shares; start and stop services; back up and restore files; format the hard disk of the computer; and shut down the computer.
S-1-5-32-550S-1-5-32-550 Operatori di stampaPrint Operators Gruppo predefinito che esiste solo nei controller di dominio.A built-in group that exists only on domain controllers. Per impostazione predefinita, l'unico membro è il gruppo Domain Users.By default, the only member is the Domain Users group. Gli operatori di stampa possono gestire stampanti e code di documenti.Print Operators can manage printers and document queues.
S-1-5-32-551S-1-5-32-551 Operatori di backupBackup Operators Un gruppo incorporato.A built-in group. Per impostazione predefinita, il gruppo non ha membri.By default, the group has no members. Gli operatori di backup possono eseguire il backup e il ripristino di tutti i file in un computer, indipendentemente dalle autorizzazioni per la protezione dei file.Backup Operators can back up and restore all files on a computer, regardless of the permissions that protect those files. Gli operatori di backup possono anche accedere al computer e arrestarlo.Backup Operators also can log on to the computer and shut it down.
S-1-5-32-552S-1-5-32-552 ReplicatoriReplicators Gruppo predefinito usato dal servizio di replica file nei controller di dominio.A built-in group that is used by the File Replication service on domain controllers. Per impostazione predefinita, il gruppo non ha membri.By default, the group has no members. Non aggiungere utenti a questo gruppo.Do not add users to this group.
S-1-5-64-10S-1-5-64-10 Autenticazione NTLMNTLM Authentication Un SID usato quando il pacchetto di autenticazione NTLM ha autenticato il clientA SID that is used when the NTLM authentication package authenticated the client
S-1-5-64-14S-1-5-64-14 Autenticazione SChannelSChannel Authentication Un SID usato quando il pacchetto di autenticazione SChannel ha autenticato il client.A SID that is used when the SChannel authentication package authenticated the client.
S-1-5-64-21S-1-5-64-21 Autenticazione del digestDigest Authentication Un SID usato quando il pacchetto di autenticazione del digest ha autenticato il client.A SID that is used when the Digest authentication package authenticated the client.
S-1-5-80S-1-5-80 Servizio NTNT Service Un SID usato come prefisso per l'account del servizio NT.A SID that is used as an NT Service account prefix.
S-1-5-80-0S-1-5-80-0 Tutti i serviziAll Services Gruppo che include tutti i processi di servizio configurati nel sistema.A group that includes all service processes that are configured on the system. L'appartenenza è controllata dal sistema operativo.Membership is controlled by the operating system. SID S-1-5-80-0 è uguale a NT SERVICES\ALL SERVICES.SID S-1-5-80-0 equals NT SERVICES\ALL SERVICES. Questo SID è stato introdotto in Windows Server 2008 R2.This SID was introduced in Windows Server 2008 R2.
S-1-5-83-0S-1-5-83-0 Macchine virtuali MACHINE\Virtual di NTNT VIRTUAL MACHINE\Virtual Machines Un gruppo incorporato.A built-in group. Il gruppo viene creato quando viene installato il ruolo Hyper-V.The group is created when the Hyper-V role is installed. L'appartenenza al gruppo è gestita dal servizio di gestione Hyper-V (VMMS).Membership in the group is maintained by the Hyper-V Management Service (VMMS). Questo gruppo richiede il diritto di creare collegamenti simbolici (SeCreateSymbolicLinkPrivilege) e anche il log on come diritto del servizio (SeServiceLogonRight).This group requires the Create Symbolic Links right (SeCreateSymbolicLinkPrivilege), and also the Log on as a Service right (SeServiceLogonRight).
S-1-16-0S-1-16-0 Livello obbligatorio non attendibileUntrusted Mandatory Level Un SID che rappresenta un livello di integrità non attendibile.A SID that represents an untrusted integrity level.
S-1-16-4096S-1-16-4096 Basso livello obbligatorioLow Mandatory Level Un SID che rappresenta un livello di integrità basso.A SID that represents a low integrity level.
S-1-16-8192S-1-16-8192 Livello obbligatorio medioMedium Mandatory Level Questo SID rappresenta un livello di integrità medio.This SID represents a medium integrity level.
S-1-16-8448S-1-16-8448 Livello medio e obbligatorioMedium Plus Mandatory Level Un SID che rappresenta un livello di integrità medio più.A SID that represents a medium plus integrity level.
S-1-16-12288S-1-16-12288 Livello obbligatorio elevatoHigh Mandatory Level Un SID che rappresenta un livello di integrità elevato.A SID that represents a high integrity level.
S-1-16-16384S-1-16-16384 Livello obbligatorio del sistemaSystem Mandatory Level Un SID che rappresenta un livello di integrità del sistema.A SID that represents a system integrity level.
S-1-16-20480S-1-16-20480 Livello obbligatorio processo protettoProtected Process Mandatory Level Un SID che rappresenta un livello di integrità del processo protetto.A SID that represents a protected-process integrity level.
S-1-16-28672S-1-16-28672 Livello obbligatorio processo sicuroSecure Process Mandatory Level Un SID che rappresenta un livello di integrità del processo sicuro.A SID that represents a secure process integrity level.

I seguenti RID sono relativi a ogni dominio.The following RIDs are relative to each domain.

SBARAZZARSIRID IdentificaIdentifies
DOMAIN_USER_RID_ADMINDOMAIN_USER_RID_ADMIN Account utente amministrativo in un dominio.The administrative user account in a domain.
DOMAIN_USER_RID_GUESTDOMAIN_USER_RID_GUEST Account utente guest in un dominio.The guest-user account in a domain. Gli utenti che non dispongono di un account possono accedere automaticamente a questo account.Users who do not have an account can automatically sign in to this account.
DOMAIN_GROUP_RID_USERSDOMAIN_GROUP_RID_USERS Gruppo che contiene tutti gli account utente in un dominio.A group that contains all user accounts in a domain. Tutti gli utenti vengono aggiunti automaticamente a questo gruppo.All users are automatically added to this group.
DOMAIN_GROUP_RID_GUESTSDOMAIN_GROUP_RID_GUESTS Account Guest del gruppo in un dominio.The group Guest account in a domain.
DOMAIN_GROUP_RID_COMPUTERSDOMAIN_GROUP_RID_COMPUTERS Gruppo di computer del dominio.The Domain Computer group. Tutti i computer del dominio sono membri di questo gruppo.All computers in the domain are members of this group.
DOMAIN_GROUP_RID_CONTROLLERSDOMAIN_GROUP_RID_CONTROLLERS Gruppo Domain controller.The Domain Controller group. Tutti i controller di dominio nel dominio sono membri di questo gruppo.All domain controllers in the domain are members of this group.
DOMAIN_GROUP_RID_CERT_ADMINSDOMAIN_GROUP_RID_CERT_ADMINS Gruppo editori certificati.The certificate publishers' group. I computer che eseguono Servizi certificati Active Directory sono membri di questo gruppo.Computers running Active Directory Certificate Services are members of this group.
DOMAIN_GROUP_RID_SCHEMA_ADMINSDOMAIN_GROUP_RID_SCHEMA_ADMINS Gruppo amministratori schema.The schema administrators' group. I membri di questo gruppo possono modificare lo schema di Active Directory.Members of this group can modify the Active Directory schema.
DOMAIN_GROUP_RID_ENTERPRISE_ADMINSDOMAIN_GROUP_RID_ENTERPRISE_ADMINS Gruppo amministratori organizzazione.The enterprise administrators' group. I membri di questo gruppo hanno accesso completo a tutti i domini nella foresta di Active Directory.Members of this group have full access to all domains in the Active Directory forest. Gli amministratori aziendali sono responsabili delle operazioni a livello di foresta, ad esempio l'aggiunta o la rimozione di nuovi domini.Enterprise administrators are responsible for forest-level operations such as adding or removing new domains.
DOMAIN_GROUP_RID_POLICY_ADMINSDOMAIN_GROUP_RID_POLICY_ADMINS Gruppo amministratori dei criteri.The policy administrators' group.

La tabella seguente contiene esempi di RID relativi al dominio usati per formare SID noti per i gruppi locali.The following table provides examples of domain-relative RIDs that are used to form well-known SIDs for local groups.

SBARAZZARSIRID IdentificaIdentifies
DOMAIN_ALIAS_RID_ADMINSDOMAIN_ALIAS_RID_ADMINS Amministratori del dominio.Administrators of the domain.
DOMAIN_ALIAS_RID_USERSDOMAIN_ALIAS_RID_USERS Tutti gli utenti del dominio.All users in the domain.
DOMAIN_ALIAS_RID_GUESTSDOMAIN_ALIAS_RID_GUESTS Guest del dominio.Guests of the domain.
DOMAIN_ALIAS_RID_POWER_USERSDOMAIN_ALIAS_RID_POWER_USERS Un utente o un set di utenti che si aspettano di trattare un sistema come se fosse il loro personal computer invece di una workstation per più utenti.A user or a set of users who expect to treat a system as if it were their personal computer rather than as a workstation for multiple users.
DOMAIN_ALIAS_RID_BACKUP_OPSDOMAIN_ALIAS_RID_BACKUP_OPS Gruppo locale usato per controllare l'assegnazione dei diritti utente per il backup e il ripristino di file.A local group that is used to control the assignment of file backup-and-restore user rights.
DOMAIN_ALIAS_RID_REPLICATORDOMAIN_ALIAS_RID_REPLICATOR Gruppo locale responsabile della copia dei database di sicurezza dal controller di dominio primario ai controller di dominio di backup.A local group that is responsible for copying security databases from the primary domain controller to the backup domain controllers. Questi account vengono usati solo dal sistema.These accounts are used only by the system.
DOMAIN_ALIAS_RID_RAS_SERVERSDOMAIN_ALIAS_RID_RAS_SERVERS Gruppo locale che rappresenta l'accesso remoto e i server che gestiscono il servizio di autenticazione Internet (IAS).A local group that represents remote access and servers running Internet Authentication Service (IAS). Questo gruppo consente l'accesso a vari attributi degli oggetti utente.This group permits access to various attributes of User objects.

Modifiche della funzionalità dell'identificatore di sicurezzaChanges in security identifier's functionality

La tabella seguente descrive le modifiche nell'implementazione di SID nei sistemi operativi Windows designati nell'elenco.The following table describes changes in SID implementation in the Windows operating systems that are designated in the list.

ModificaChange Versione del sistema operativoOperating system version Descrizione e risorseDescription and resources
La maggior parte dei file di sistema operativo è di proprietà dell'identificatore di sicurezza di TrustedInstaller (SID)Most of the operating system files are owned by the TrustedInstaller security identifier (SID) Windows Server 2008, Windows VistaWindows Server 2008, Windows Vista Lo scopo di questa modifica è impedire un processo che viene eseguito come amministratore o nell'account LocalSystem sostituendo automaticamente i file del sistema operativo.The purpose of this change is to prevent a process that is running as an administrator or under the LocalSystem account from automatically replacing the operating system files.
Vengono implementati controlli SID con restrizioniRestricted SID checks are implemented Windows Server 2008, Windows VistaWindows Server 2008, Windows Vista Quando sono presenti i SID che limitano la presenza, Windows esegue due controlli di Access.When restricting SIDs are present, Windows performs two access checks. Il primo è il normale controllo di accesso e il secondo è lo stesso controllo di accesso contro i SID che limitano il token.The first is the normal access check, and the second is the same access check against the restricting SIDs in the token. Entrambi i controlli di Access devono passare per consentire al processo di accedere all'oggetto.Both access checks must pass to allow the process to access the object.

SID di funzionalitàCapability SIDs

I SID (Capability Security Identifier) vengono usati per identificare in modo univoco le funzionalità e preservato.Capability Security Identifiers (SIDs) are used to uniquely and immutably identify capabilities. Le funzionalità rappresentano un token di autorità non falsificabile che concede l'accesso alle risorse (esempi: documenti, fotocamera, percorsi e così via) alle applicazioni di Windows universali.Capabilities represent an unforgeable token of authority that grants access to resources (Examples: documents, camera, locations etc...) to Universal Windows Applications. Un'app con cui è stata concessa l'accesso alla risorsa a cui è associata la funzionalità e a cui "non ha" una funzionalità viene negato l'accesso alla risorsa.An App that “has” a capability is granted access to the resource the capability is associated with, and one that “does not have” a capability is denied access to the resource.

Tutti i SID di funzionalità a cui il sistema operativo è a conoscenza sono archiviati nel registro di Windows nel percorso "HKEY_LOCAL_MACHINE \SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities".All Capability SIDs that the operating system is aware of are stored in the Windows Registry in the path `HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities'. Tutti i SID di funzionalità aggiunti a Windows dalle applicazioni First o Third-Party verranno aggiunti a questa posizione.Any Capability SID added to Windows by first or third-party applications will be added to this location.

Esempi di chiavi del registro di sistema ricavate da Windows 10, versione 1909, 64-bit Enterprise EditionExamples of registry keys taken from Windows 10, version 1909, 64-bit Enterprise edition

In AllCachedCapabilities potrebbero essere visualizzate le chiavi del registro di sistema seguenti:You may see the following registry keys under AllCachedCapabilities:

HKEY_LOCAL_MACHINE \SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities\ capabilityClass_DevUnlock HKEY_LOCAL_MACHINE \SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities\ capabilityClass_DevUnlock_Internal HKEY_LOCAL_MACHINE \SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities\ capabilityClass_Enterprise HKEY_LOCAL_MACHINE \SOFTWARE\Microsoft\SecurityManager\CapabilityClasses \AllCachedCapabilities\ capabilityClass_General HKEY_LOCAL_MACHINE \SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities\ capabilityClass_Restricted HKEY_LOCAL_MACHINE \SOFTWARE\Microsoft\SecurityManager\ CapabilityClass_Windows CapabilityClasses\AllCachedCapabilities</span>HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities\capabilityClass_DevUnlock HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities\capabilityClass_DevUnlock_Internal HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities\capabilityClass_Enterprise HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities\capabilityClass_General HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities\capabilityClass_Restricted HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SecurityManager\CapabilityClasses\AllCachedCapabilities\capabilityClass_Windows

Tutti i SID di funzionalità sono preceduti da S-1-15-3All Capability SIDs are prefixed by S-1-15-3

Vedi ancheSee also