SIDs conhecidos

Identificadores de segurança ( SIDs) conhecidos identificam grupos genéricos e usuários genéricos. Por exemplo, existem SIDs bem conhecidos para identificar os seguintes grupos e usuários:

• Todos ou Mundo, que é um grupo que inclui todos os usuários.
• CREATOR_OWNER, que é usado como um espaço reservado em uma ACE herdável. Quando a ACE é herdada, o sistema substitui o SID CREATOR_OWNER pelo SID do criador do objeto.
• O grupo Administradores do domínio interno no computador local.

Existem SIDs universais bem conhecidos, que são significativos em todos os sistemas seguros que usam esse modelo de segurança, incluindo sistemas operacionais diferentes do Windows. Além disso, existem SIDs bem conhecidos que são significativos apenas em sistemas Windows.

A API do Windows define um conjunto de constantes para valores de autoridade de identificador conhecido e identificador relativo (RID). Você pode usar essas constantes para criar SIDs conhecidos. O exemplo a seguir combina as constantes SECURITY_WORLD_SID_AUTHORITY e SECURITY_WORLD_RID para mostrar o SID universal bem conhecido para o grupo especial que representa todos os usuários (Todos ou Mundo):

S-1-1-0

Este exemplo usa a notação de cadeia de caracteres para SIDs em que S identifica a cadeia de caracteres como um SID, o primeiro 1 é o nível de revisão do SID e os dois dígitos restantes são as constantes SECURITY_WORLD_SID_AUTHORITY e SECURITY_WORLD_RID.

Você pode usar a função AllocateAndInitializeSid para criar um SID combinando um valor de autoridade de identificador com até oito valores de subautoridade. Por exemplo, para determinar se o usuário conectado é membro de um determinado grupo conhecido, chame AllocateAndInitializeSid para criar um SID para o grupo conhecido e use a função EqualSid para comparar esse SID com os SIDs de grupo no token de acesso do usuário. Para obter um exemplo, consulte Procurando um SID em um token de acesso em C++. Você deve chamar a função FreeSid para liberar um SID alocado por AllocateAndInitializeSid.

O restante desta seção contém tabelas de SIDs conhecidos e tabelas de constantes de autoridade e subautoridade de identificador que você pode usar para criar SIDs conhecidos.

A seguir estão alguns SIDs universais bem conhecidos.

SID universal conhecido	Identifica
SID nulo Valor da cadeia de caracteres: S-1-0-0	Um grupo sem membros. Isso geralmente é usado quando um valor SID não é conhecido.
World (Mundo) Valor da cadeia de caracteres: S-1-1-0	Um grupo que inclui todos os usuários.
Local Valor da cadeia de caracteres: S-1-2-0	Usuários que fazem logon em terminais conectados localmente (fisicamente) ao sistema.
ID do Proprietário Criador Valor da cadeia de caracteres: S-1-3-0	Um identificador de segurança a ser substituído pelo identificador de segurança do usuário que criou um objeto. Esse SID é usado em ACEs herdáveis.
ID do Grupo de Criadores Valor da cadeia de caracteres: S-1-3-1	Um identificador de segurança a ser substituído pelo SID do grupo primário do usuário que criou um objeto. Use esse SID em ACEs herdáveis.

A tabela a seguir lista as constantes de autoridade de identificador predefinidas. Os quatro primeiros valores são usados com SIDs universais bem conhecidos; o último valor é usado com SIDs conhecidos do Windows.

Autoridade de identificador	Valor	Valor da cadeia de caracteres
SECURITY_NULL_SID_AUTHORITY	0	S-1-0
SECURITY_WORLD_SID_AUTHORITY	1	S-1-1
SECURITY_LOCAL_SID_AUTHORITY	2	S-1-2
SECURITY_CREATOR_SID_AUTHORITY	3	S-1-3
SECURITY_NT_AUTHORITY	5	S-1-5

Os seguintes valores de RID são usados com SIDs universais bem conhecidos. A coluna Autoridade de identificador mostra o prefixo da autoridade de identificador com a qual você pode combinar o RID para criar um SID universal conhecido.

Autoridade de identificador relativo	Valor	Valor da cadeia de caracteres
SECURITY_NULL_RID	0	S-1-0
SECURITY_WORLD_RID	0	S-1-1
SECURITY_LOCAL_RID	0	S-1-2
SECURITY_LOCAL_LOGON_RID	1	S-1-2
SECURITY_CREATOR_OWNER_RID	0	S-1-3
SECURITY_CREATOR_GROUP_RID	1	S-1-3

A autoridade de identificador predefinida SECURITY_NT_AUTHORITY (S-1-5) produz SIDs que não são universais, mas são significativos apenas em instalações do Windows. Você pode usar os seguintes valores de RID com SECURITY_NT_AUTHORITY para criar SIDs conhecidos.

Constante	Identifica
SECURITY_DIALUP_RID Valor da cadeia de caracteres: S-1-5-1	Usuários que fazem logon em terminais usando um modem dial-up. Este é um identificador de grupo.
SECURITY_NETWORK_RID Valor da cadeia de caracteres: S-1-5-2	Usuários que fazem logon em uma rede. Esse é um identificador de grupo adicionado ao token de um processo quando foi conectado ao longo de uma rede. O tipo de logon correspondente é LOGON32_LOGON_NETWORK.
SECURITY_BATCH_RID Valor da cadeia de caracteres: S-1-5-3	Usuários que fazem logon usando um recurso de fila de lotes. Este é um identificador de grupo adicionado ao token de um processo quando ele foi registrado como um trabalho em lote. O tipo de logon correspondente é LOGON32_LOGON_BATCH.
SECURITY_INTERACTIVE_RID Valor da cadeia de caracteres: S-1-5-4	Usuários que fazem logon para operação interativa. Esse é um identificador de grupo adicionado ao token de um processo quando foi conectado interativamente. O tipo de logon correspondente é LOGON32_LOGON_INTERACTIVE.
SECURITY_LOGON_IDS_RID Valor da cadeia de caracteres: S-1-5-5-*X*-*Y*	Uma sessão de logon. Isso é usado para garantir que somente os processos em uma determinada sessão de logon possam obter acesso aos objetos window-station dessa sessão. Os valores X e Y para esses SIDs são diferentes para cada sessão de logon. O valor SECURITY_LOGON_IDS_RID_COUNT é o número de RIDs nesse identificador (5-X- Y).
SECURITY_SERVICE_RID Valor da cadeia de caracteres: S-1-5-6	Contas autorizadas a fazer logon como um serviço. Esse é um identificador de grupo adicionado ao token de um processo quando foi registrado como um serviço. O tipo de logon correspondente é LOGON32_LOGON_SERVICE.
SECURITY_ANONYMOUS_LOGON_RID Valor da cadeia de caracteres: S-1-5-7	Logon anônimo ou logon de sessão nulo.
SECURITY_PROXY_RID Valor da cadeia de caracteres: S-1-5-8	Procuração.
SECURITY_ENTERPRISE_CONTROLLERS_RID Valor da cadeia de caracteres: S-1-5-9	Controladores corporativos.
SECURITY_PRINCIPAL_SELF_RID Valor da cadeia de caracteres: S-1-5-10	O identificador de segurança PRINCIPAL_SELF pode ser usado na ACL de um objeto de usuário ou grupo. Durante uma verificação de acesso, o sistema substitui o SID pelo SID do objeto. O SID PRINCIPAL_SELF é útil para especificar uma ACE hereditária que se aplica ao objeto de usuário ou grupo que herda a ACE. É a única maneira de representar o SID de um objeto criado no descritor de segurança padrão do esquema.
SECURITY_AUTHENTICATED_USER_RID Valor da cadeia de caracteres: S-1-5-11	Os usuários autenticados.
SECURITY_RESTRICTED_CODE_RID Valor da cadeia de caracteres: S-1-5-12	Código restrito
SECURITY_TERMINAL_SERVER_RID Valor da cadeia de caracteres: S-1-5-13	Serviços de Terminal. Adicionado automaticamente ao token de segurança de um usuário que faz logon em um servidor de terminal.
SECURITY_LOCAL_SYSTEM_RID Valor da cadeia de caracteres: S-1-5-18	Uma conta especial usada pelo sistema operacional.
SECURITY_NT_NON_UNIQUE Valor da cadeia de caracteres: S-1-5-21	Os SMSL não são únicos.
SECURITY_BUILTIN_DOMAIN_RID Valor da cadeia de caracteres: S-1-5-32	O domínio interno do sistema.
SECURITY_WRITE_RESTRICTED_CODE_RID Valor da cadeia de caracteres: S-1-5-33	Escrever código restrito.

Os RIDs a seguir são relativos a cada domínio.

RID	Identifica
DOMAIN_ALIAS_RID_CERTSVC_DCOM_ACCESS_GROUP Valor: 0x0000023E	O grupo de usuários que pode se conectar a autoridades de certificação usando o DCOM (Distributed Component Object Model).
DOMAIN_USER_RID_ADMIN Valor: 0x000001F4	A conta de usuário administrativa em um domínio.
DOMAIN_USER_RID_GUEST Valor: 0x000001F5	A conta de usuário convidado em um domínio. Os usuários que não têm uma conta podem fazer logon automaticamente nessa conta.
DOMAIN_GROUP_RID_ADMINS Valor: 0x00000200	O grupo de administradores de domínio. Essa conta existe apenas em sistemas que executam sistemas operacionais de servidor.
DOMAIN_GROUP_RID_USERS Valor: 0x00000201	Um grupo que contém todas as contas de usuário de um domínio. Todos os usuários são automaticamente adicionados a esse grupo.
DOMAIN_GROUP_RID_GUESTS Valor: 0x00000202	A conta do grupo convidado em um domínio.
DOMAIN_GROUP_RID_COMPUTERS Valor: 0x00000203	O grupo de computadores do domínio. Todos os computadores do domínio são membros desse grupo.
DOMAIN_GROUP_RID_CONTROLLERS Valor: 0x00000204	O grupo de controladores de domínio. Todos os DCs no domínio são membros desse grupo.
DOMAIN_GROUP_RID_CERT_ADMINS Valor: 0x00000205	O grupo de editores de certificados. Os computadores que executam os Serviços de Certificados são membros desse grupo.
DOMAIN_GROUP_RID_ENTERPRISE_READONLY_DOMAIN_CONTROLLERS Valor: 0x000001F2	O grupo de controladores de domínio somente leitura corporativos.
DOMAIN_GROUP_RID_SCHEMA_ADMINS Valor: 0x00000206	O grupo de administradores de esquema. Os membros desse grupo podem modificar o esquema do Active Directory.
DOMAIN_GROUP_RID_ENTERPRISE_ADMINS Valor: 0x00000207	O grupo de administradores corporativos. Os membros desse grupo têm acesso completo a todos os domínios da floresta do Active Directory. Os administradores corporativos são responsáveis por operações de nível de floresta, como adicionar ou remover novos domínios.
DOMAIN_GROUP_RID_POLICY_ADMINS Valor: 0x00000208	O grupo de administradores de diretiva.
DOMAIN_GROUP_RID_READONLY_CONTROLLERS Valor: 0x00000209	O grupo de controladores de domínio somente leitura
DOMAIN_GROUP_RID_CLONEABLE_CONTROLLERS Valor: 0x0000020A	O grupo de controladores de domínio clonáveis.
DOMAIN_GROUP_RID_CDC_RESERVED Valor: 0x0000020C	O grupo CDC reservado.
DOMAIN_GROUP_RID_PROTECTED_USERS Valor: 0x0000020D	O grupo de usuários protegidos.
DOMAIN_GROUP_RID_KEY_ADMINS Valor: 0x0000020E	O grupo de administradores de chave.
DOMAIN_GROUP_RID_ENTERPRISE_KEY_ADMINS Valor: 0x0000020F	O grupo de administradores de chave corporativa.

Os RIDs a seguir são usados para especificar o nível de integridade obrigatório.

RID	Valor	Identifica
SECURITY_MANDATORY_UNTRUSTED_RID	0x00000000	Untrusted.
SECURITY_MANDATORY_LOW_RID	0x00001000	Baixa integridade.
SECURITY_MANDATORY_MEDIUM_RID	0x00002000	Integridade média.
SECURITY_MANDATORY_MEDIUM_PLUS_RID	SECURITY_MANDATORY_MEDIUM_RID + 0x100	Integridade média alta.
SECURITY_MANDATORY_HIGH_RID	0X00003000	Alta integridade.
SECURITY_MANDATORY_SYSTEM_RID	0x00004000	Integridade do sistema.
SECURITY_MANDATORY_PROTECTED_PROCESS_RID	0x00005000	Processo protegido.

A tabela a seguir tem exemplos de RIDs relativos ao domínio que você pode usar para formar SIDs conhecidos para grupos locais (aliases). Para obter mais informações sobre grupos locais e globais, consulte Funções de grupo local e Funções de grupo.

RID	Identifica
DOMAIN_ALIAS_RID_ADMINS Valor: 0x00000220 Valor da cadeia de caracteres: S-1-5-32-544	Um grupo local usado para administração do domínio.
DOMAIN_ALIAS_RID_USERS Valor: 0x00000221 Valor da cadeia de caracteres: S-1-5-32-545	Um grupo local que representa todos os usuários no domínio.
DOMAIN_ALIAS_RID_GUESTS Valor: 0x00000222 Valor da cadeia de caracteres: S-1-5-32-546	Um grupo local que representa convidados do domínio.
DOMAIN_ALIAS_RID_POWER_USERS Valor: 0x00000223 Valor da cadeia de caracteres: S-1-5-32-547	Um grupo local usado para representar um usuário ou conjunto de usuários que esperam tratar um sistema como se fosse seu computador pessoal, em vez de como uma estação de trabalho para vários usuários.
DOMAIN_ALIAS_RID_ACCOUNT_OPS Valor: 0x00000224 Valor da cadeia de caracteres: S-1-5-32-548	Um grupo local que existe apenas em sistemas que executam sistemas operacionais de servidor. Esse grupo local permite o controle sobre contas de não administrador.
DOMAIN_ALIAS_RID_SYSTEM_OPS Valor: 0x00000225 Valor da cadeia de caracteres: S-1-5-32-549	Um grupo local que existe apenas em sistemas que executam sistemas operacionais de servidor. Esse grupo local executa funções administrativas do sistema, não incluindo funções de segurança. Ele estabelece compartilhamentos de rede, controla impressoras, desbloqueia estações de trabalho e executa outras operações.
DOMAIN_ALIAS_RID_PRINT_OPS Valor: 0x00000226 Valor da cadeia de caracteres: S-1-5-32-550	Um grupo local que existe apenas em sistemas que executam sistemas operacionais de servidor. Esse grupo local controla impressoras e filas de impressão.
DOMAIN_ALIAS_RID_BACKUP_OPS Valor: 0x00000227 Valor da cadeia de caracteres: S-1-5-32-551	Um grupo local usado para controlar a atribuição de privilégios de backup e restauração de arquivos.
DOMAIN_ALIAS_RID_REPLICATOR Valor: 0x00000228 Valor da cadeia de caracteres: S-1-5-32-552	Um grupo local responsável por copiar bancos de dados de segurança do controlador de domínio primário para os controladores de domínio de backup. Essas contas são usadas apenas pelo sistema.
DOMAIN_ALIAS_RID_RAS_SERVERS Valor: 0x00000229 Valor da cadeia de caracteres: S-1-5-32-553	Um grupo local que representa servidores RAS e IAS. Esse grupo permite o acesso a vários atributos de objetos de usuário.
DOMAIN_ALIAS_RID_PREW2KCOMPACCESS Valor: 0x0000022A Valor da cadeia de caracteres: S-1-5-32-554	Um grupo local que existe apenas em sistemas que executam o Windows 2000 Server. Para obter mais informações, consulte Permitindo acesso anônimo.
DOMAIN_ALIAS_RID_REMOTE_DESKTOP_USERS Valor: 0x0000022B Valor da cadeia de caracteres: S-1-5-32-555	Um grupo local que representa todos os usuários da área de trabalho remota.
DOMAIN_ALIAS_RID_NETWORK_CONFIGURATION_OPS Valor: 0x0000022C Valor da cadeia de caracteres: S-1-5-32-556	Um grupo local que representa a configuração de rede.
DOMAIN_ALIAS_RID_INCOMING_FOREST_TRUST_BUILDERS Valor: 0x0000022D Valor da cadeia de caracteres: S-1-5-32-557	Um grupo local que representa qualquer usuário de confiança de floresta.
DOMAIN_ALIAS_RID_MONITORING_USERS Valor: 0x0000022E Valor da cadeia de caracteres: S-1-5-32-558	Um grupo local que representa todos os usuários que estão sendo monitorados.
DOMAIN_ALIAS_RID_LOGGING_USERS Valor: 0x0000022F Valor da cadeia de caracteres: S-1-5-32-559	Um grupo local responsável pelo registro em log de usuários.
DOMAIN_ALIAS_RID_AUTHORIZATIONACCESS Valor: 0x00000230 Valor da cadeia de caracteres: S-1-5-32-560	Um grupo local que representa todo o acesso autorizado.
DOMAIN_ALIAS_RID_TS_LICENSE_SERVERS Valor: 0x00000231 Valor da cadeia de caracteres: S-1-5-32-561	Um grupo local que existe apenas em sistemas que executam sistemas operacionais de servidor que permitem serviços de terminal e acesso remoto.
DOMAIN_ALIAS_RID_DCOM_USERS Valor: 0x00000232 Valor da cadeia de caracteres: S-1-5-32-562	Um grupo local que representa usuários que podem usar o DCOM (Distributed Component Object Model).
DOMAIN_ALIAS_RID_IUSERS Valor: 0X00000238 Valor da cadeia de caracteres: S-1-5-32-568	Um grupo local que representa os usuários da Internet.
DOMAIN_ALIAS_RID_CRYPTO_OPERATORS Valor: 0x00000239 Valor da cadeia de caracteres: S-1-5-32-569	Um grupo local que representa o acesso a operadores de criptografia.
DOMAIN_ALIAS_RID_CACHEABLE_PRINCIPALS_GROUP Valor: 0x0000023B Valor da cadeia de caracteres: S-1-5-32-571	Um grupo local que representa entidades que podem ser armazenadas em cache.
DOMAIN_ALIAS_RID_NON_CACHEABLE_PRINCIPALS_GROUP Valor: 0x0000023C Valor da cadeia de caracteres: S-1-5-32-572	Um grupo local que representa entidades que não podem ser armazenadas em cache.
DOMAIN_ALIAS_RID_EVENT_LOG_READERS_GROUP Valor: 0x0000023D Valor da cadeia de caracteres: S-1-5-32-573	Um grupo local que representa leitores de log de eventos.
DOMAIN_ALIAS_RID_CERTSVC_DCOM_ACCESS_GROUP Valor: 0x0000023E Valor da cadeia de caracteres: S-1-5-32-574	O grupo local de usuários que podem se conectar a autoridades de certificação usando o DCOM (Distributed Component Object Model).
DOMAIN_ALIAS_RID_RDS_REMOTE_ACCESS_SERVERS Valor: 0x0000023F Valor da cadeia de caracteres: S-1-5-32-575	Um grupo local que representa servidores de acesso remoto RDS.
DOMAIN_ALIAS_RID_RDS_ENDPOINT_SERVERS Valor: 0x00000240 Valor da cadeia de caracteres: S-1-5-32-576	Um grupo local que representa servidores de ponto de extremidade.
DOMAIN_ALIAS_RID_RDS_MANAGEMENT_SERVERS Valor: 0x00000241 Valor da cadeia de caracteres: S-1-5-32-577	Um grupo local que representa servidores de gerenciamento.
DOMAIN_ALIAS_RID_HYPER_V_ADMINS Valor: 0x00000242 Valor da cadeia de caracteres: S-1-5-32-578	Um grupo local que representa administradores do hyper-v.
DOMAIN_ALIAS_RID_ACCESS_CONTROL_ASSISTANCE_OPS Valor: 0x00000243 Valor da cadeia de caracteres: S-1-5-32-579	Um grupo local que representa o OPS de assistência de controle de acesso.
DOMAIN_ALIAS_RID_REMOTE_MANAGEMENT_USERS Valor: 0x00000244 Valor da cadeia de caracteres: S-1-5-32-580	Um grupo local que representa usuários de gerenciamento remoto.
DOMAIN_ALIAS_RID_DEFAULT_ACCOUNT Valor: 0x00000245 Valor da cadeia de caracteres: S-1-5-32-581	Um grupo local que representa a conta padrão.
DOMAIN_ALIAS_RID_STORAGE_REPLICA_ADMINS Valor: 0x00000246 Valor da cadeia de caracteres: S-1-5-32-582	Um grupo local que representa administradores de réplica de armazenamento.
DOMAIN_ALIAS_RID_DEVICE_OWNERS Valor: 0x00000247 Valor da cadeia de caracteres: S-1-5-32-583	Um grupo local que representa pode fazer configurações esperadas para Proprietários de dispositivos.

A enumeração WELL_KNOWN_SID_TYPE define a lista de SIDs comumente usados. Além disso, a linguagem de definição de descritor de segurança (SDDL) usa cadeias de caracteres SID para fazer referência a SIDs conhecidos em um formato de cadeia de caracteres.