SeSetSecurityDescriptorInfoEx 函数 (ntifs.h)

项目
10/04/2023

SeSetSecurityDescriptorInfoEx 例程修改对象的安全描述符，并指定对象是否支持自动继承访问控制项 (ACE) 。

语法

NTSTATUS SeSetSecurityDescriptorInfoEx(
  [in, optional] PVOID                 Object,
  [in]           PSECURITY_INFORMATION SecurityInformation,
                 PSECURITY_DESCRIPTOR  ModificationDescriptor,
  [in, out]      PSECURITY_DESCRIPTOR  *ObjectsSecurityDescriptor,
  [in]           ULONG                 AutoInheritFlags,
  [in]           POOL_TYPE             PoolType,
  [in]           PGENERIC_MAPPING      GenericMapping
);

参数

[in, optional] Object

指向要修改其安全描述符的对象的指针。这用于更新安全配额信息。

[in] SecurityInformation

指向一个值的指针，该值指定要设置的安全信息。可以是以下一项或多项的组合。

值	含义
DACL_SECURITY_INFORMATION	指示正在设置对象的 DACL) (自由访问控制列表。需要WRITE_DAC访问权限。
GROUP_SECURITY_INFORMATION	指示正在设置对象的主组标识符。需要WRITE_OWNER访问权限。
OWNER_SECURITY_INFORMATION	指示正在设置对象的所有者标识符。需要WRITE_OWNER访问权限。
SACL_SECURITY_INFORMATION	指示正在设置对象的系统 ACL (SACL) 。需要ACCESS_SYSTEM_SECURITY访问权限。

ModificationDescriptor

要应用于对象的输入安全描述符。此例程的调用方应在调用之前探测和捕获传递的安全描述符，并在调用后释放它。

[in, out] ObjectsSecurityDescriptor

指向指向对象安全描述符的指针的指针。安全描述符必须采用自相对格式。此结构必须由调用方解除分配。

[in] AutoInheritFlags

控制 ACE 自动继承的位掩码。设置为以下一个或多个位标志的逻辑 OR：

安全信息标志	含义
SEF_DACL_AUTO_INHERIT	如果设置了此标志，则 DACL 被视为自动继承 DACL，并按以下“备注”部分中所述进行处理。如果未在 SecurityInformation 参数中设置DACL_SECURITY_INFORMATION，则忽略此位。
SEF_SACL_AUTO_INHERIT	如果设置了此标志，则 SACL 被视为自动继承 SACL，并按以下“备注”部分中所述进行处理。如果未在 SecurityInformation 参数中设置SACL_SECURITY_INFORMATION，则忽略此位。

[in] PoolType

指定分配新的安全描述符时要使用的池类型，可以是以下其中一种：

NonPagedPool
PagedPool
NonPagedPoolCacheAligned
PagedPoolCacheAligned

通常，调用方指定 PagedPool，或者如果将在 IRQL >= DISPATCH_LEVEL 或在任意线程上下文中访问缓冲区，则指定 NonPagedPool。

NonPagedPoolMustSucceed 和 NonPagedPoolCacheAlignedMustS 池类型已过时，不应再使用。

[in] GenericMapping

指向GENERIC_MAPPING结构的指针，该结构指定所访问对象的泛型到特定和标准访问类型的映射。此映射结构应该可以安全地访问 (即，在传递到此例程之前，如有必要) 捕获。

返回值

返回代码	说明
STATUS_SUCCESS	已成功修改对象的安全描述符。
STATUS_BAD_DESCRIPTOR_FORMAT	提供的对象的安全描述符不是自相对格式。
STATUS_NO_SECURITY_ON_OBJECT	对象没有安全描述符。

注解

如果 AutoInheritFlags 参数为零，则调用 SeSetSecurityDescriptorInfoEx 的效果与调用 SeSetSecurityDescriptorInfo 的效果相同。

如果 AutoInheritFlags 指定SEF_DACL_AUTO_INHERIT位， SeSetSecurityDescriptorInfoEx 会将以下规则应用于 DACL，以从当前描述符创建新的安全描述符：

如果未在当前安全描述符或输入 SecurityDescriptor 的控制位中设置SE_DACL_PROTECTED标志， SeSetSecurityDescriptorInfoEx 将从继承的当前安全描述符的 ACE 和 SecurityDescriptor 的非继承 ACE 构造输出安全描述符。也就是说，无法通过更改对象上的 ACL 来更改继承的 ACE。此行为会保留继承的 ACE，因为它们是从父容器继承的。
如果在输入 SecurityDescriptor 中设置了SE_DACL_PROTECTED，则忽略当前安全描述符。输出安全描述符生成为输入 SecurityDescriptor 的副本，并关闭任何INHERITED_ACE位。

理想情况下，ACL 编辑器应关闭INHERITED_ACE位，向调用方指示从对象的父级继承的 ACE 现在正在对象上显式设置。

如果在当前安全描述符而不是 SecurityDescriptor 中设置了SE_DACL_PROTECTED，则忽略当前安全描述符。输出安全描述符生成为 SecurityDescriptor 的副本。调用方负责确保正确的 ACE 已打开INHERITED_ACE位。

如果 AutoInheritFlags 指定SEF_SACL_AUTO_INHERIT位， SeSetSecurityDescriptorInfoEx 会将类似的规则应用于新的 SACL。

有关访问控制和 ACE 继承的详细信息，请参阅Microsoft Windows SDK文档的安全性部分。

要求

要求	值
最低受支持的客户端	Windows 2000
目标平台	通用
标头	ntifs.h (包括 Ntifs.h)
Library	NtosKrnl.lib
DLL	NtosKrnl.exe
IRQL	PASSIVE_LEVEL