Создание дескрипторов безопасности для новых объектов каталога

С помощью ADSI можно создать дескриптор безопасности и установить его как свойство nTSecurityDescriptor для нового объекта или использовать его для замены дескриптора безопасности существующего объекта nTSecurityDescriptor.

Чтобы создать дескриптор безопасности для объекта:

1. Используйте CoCreateInstance для создания com-объекта ADSI для нового дескриптора безопасности и получения указателя интерфейса IADsSecurityDescriptor на этот объект. Помните, что идентификатор класса CLSID_SecurityDescriptor.
2. Используйте метод IADsSecurityDescriptor::put_Owner, чтобы задать владельца объекта. Доверенное лицо является пользователем, группой или другим субъектом безопасности. Приложение должно использовать значение из соответствующего свойства объекта пользователя или группы, связанного с доверенным лицом, к которому применяется ACE.
3. Используйте метод IADsSecurityDescriptor::put_Control для управления тем, наследуют ли списки DACL и SACL объектом от родительского контейнера.
4. Используйте CoCreateInstance для создания COM-объекта ADSI для DACL нового дескриптора безопасности и получения указателя интерфейса IADsAccessControlList на этот объект. Учтите, что идентификатор класса CLSID_AccessControlList.
5. Для каждого ACE, добавляемого в DACL, используйте CoCreateInstance для создания COM-объекта ADSI для нового ACE и чтобы получить указатель интерфейса IADsAccessControlEntry на этот объект. Помните, что идентификатор класса является CLSID_AccessControlEntry.
6. Для каждого ACE, добавляемого в DACL, задайте свойства ACE с помощью методов свойств объекта IADsAccessControlEntry. Более подробную информацию о настройке свойств на ACE см. в установке прав доступа на объект.
7. Для каждого ACE, добавляемого в DACL, используйте метод QueryInterface в объекте IADsAccessControlEntry, чтобы получить указатель IDispatch. Для метода IADsAccessControlList::AddAce требуется указатель интерфейса IDispatch на ACE.
8. Для каждого ACE, добавляемого в DACL, используйте IADsAccessControlList::AddAce, чтобы добавить новый ACE в DACL. Будьте внимательны, что порядок ACE в ACL может повлиять на оценку доступа к объекту. Для правильного доступа к объекту может потребоваться создать новый ACL, добавить ACE из существующего ACL в правильном порядке в новый ACL, а затем заменить существующий ACL в дескрипторе безопасности новым ACL. Дополнительные сведения см. в порядке управления правами доступа вDACL.
9. Выполните действия 4-8, чтобы создать SACL для нового дескриптора безопасности.
10. Используйте метод IADsSecurityDescriptor::put_DiscretionaryAcl для установки DACL. Дополнительные сведения о DACLs см. в разделе списки DACLs null и пустые списки DACLs.
11. Используйте метод IADsSecurityDescriptor::put_SystemAcl для задания SACL.
12. Преобразуйте объект IADsSecurityDescriptor в VARIANT, используя метод QueryInterface объекта IADsSecurityDescriptor, чтобы получить интерфейс IDispatch. Затем установите член структуры VARIANT в VT_DISPATCH и установите член pdispVal структуры VARIANT равным указателю IDispatch.
13. Получите указатель интерфейса IADs для объекта.
14. Используйте метод IADs::Put с nTSecurityDescriptor и VARIANT, созданного выше, для записи нового дескриптора безопасности в кэш свойств.
15. Используйте метод IADs::SetInfo для обновления свойства объекта в каталоге.