Personifikacja
Personifikacja to możliwość wykonywania wątku w kontekście zabezpieczeń, który różni się od kontekstu procesu będącego właścicielem wątku. W przypadku uruchamiania w kontekście zabezpieczeń klienta serwer "jest" klientem w pewnym stopniu. Wątek serwera używa tokenu dostępu reprezentującego poświadczenia klienta w celu uzyskania dostępu do obiektów, do których klient ma dostęp.
Główną przyczyną personifikacji jest spowodowanie przeprowadzenia kontroli dostępu względem tożsamości klienta. Użycie tożsamości klienta do kontroli dostępu może spowodować ograniczenie lub rozszerzenie dostępu, w zależności od tego, co klient ma uprawnienia do wykonania. Załóżmy na przykład, że serwer plików zawiera pliki zawierające poufne informacje i że każdy z tych plików jest chroniony przez listę ACL. Aby uniemożliwić klientowi uzyskanie nieautoryzowanego dostępu do informacji w tych plikach, serwer może personifikować klienta przed uzyskaniem dostępu do plików.
Tokeny dostępu do personifikacji
Tokeny dostępu to obiekty opisujące kontekst zabezpieczeń procesu lub wątku. Zawierają one informacje, które obejmują tożsamość konta użytkownika i podzbiór uprawnień dostępnych dla konta użytkownika. Każdy proces ma podstawowy token dostępu opisujący kontekst zabezpieczeń konta użytkownika skojarzonego z procesem. Domyślnie system używa tokenu podstawowego, gdy wątek procesu wchodzi w interakcję z zabezpieczanym obiektem. Jednak gdy wątek personifikuje klienta, personifikujący wątek ma zarówno podstawowy token dostępu, jak i token personifikacji . Token personifikacji reprezentuje kontekst zabezpieczeń klienta, a ten token dostępu jest używany do sprawdzania dostępu podczas personifikacji. Gdy personifikacja się skończyła, wątek powraca do używania tylko podstawowego tokenu dostępu.
Aby uzyskać dojście do podstawowego tokenu procesu, możesz użyć funkcji OpenProcessToken. Użyj funkcji OpenThreadToken, aby uzyskać dojście do tokenu personifikacji wątku.
Tematy pokrewne