Получение SACL объекта

Дескриптор безопасности объекта в доменных службах Active Directory может содержать список системного управления доступом (SACL). SACL содержит записи управления доступом (ACEs), которые указывают типы попыток доступа, создающих записи аудита в журнале событий безопасности контроллера домена. Помните, что SACL создает записи журнала только на контроллере домена, где произошла попытка доступа, а не на каждом контроллере домена, который содержит реплику объекта.

Чтобы задать или получить SACL из дескриптора безопасности объекта, в маркере доступа потока запроса необходимо включить привилегию SE_SECURITY_NAME. Группа администраторов имеет эту привилегию по умолчанию и может быть назначена другим пользователям или группам. Дополнительные сведения см. в разделе права доступа SACL.

Чтобы получить и задать SACL объекта каталога, используйте интерфейс IADsSecurityDescriptor. С помощью C++ метод IADsSecurityDescriptor::get_SystemAcl возвращает указатель IDispatch. Вызовите QueryInterface на этот указатель IDispatch, чтобы получить интерфейс IADsAccessControlList и использовать методы этого интерфейса для доступа к отдельным ACE в SACL. Дополнительные сведения о процедуре изменения SACL, аналогичной процедуре изменения DACL, см. в разделе Настройка прав доступа к объекту.

Чтобы перечислить ACEs в SACL, используйте метод IADsAccessControlList::get__NewEnum, который возвращает указатель IUnknown. Вызовите QueryInterface на этом указателе IUnknown, чтобы получить интерфейс IEnumVARIANT. Используйте метод IEnumVARIANT::Next для перечисления ACE в ACL. Каждый элемент ACE возвращается в виде VARIANT, который содержит указатель IDispatch; Помните, что член vtVT_DISPATCH. Вызывайте метод QueryInterface на указателе IDispatch, чтобы получить интерфейс IADsAccessControlEntry для ACE. Используйте методы интерфейса IADsAccessControlEntry для задания или получения компонентов ACE.

Дополнительные сведения о SACLs см. в следующем разделе:

 

 

  • Last updated on