| Предыдущий | Следующий |
| STATUS_NO_IMPERSONATION_TOKEN | STATUS_NO_LOGON_SERVERS |
STATUS_CANT_DISABLE_MANDATORY
Обязательный SID нельзя отключить с помощью AdjustTokenGroups
Обязательные группы токена защищены от обычного включения и отключения. Это правило не позволяет вызывающему коду удалить компоненты идентичности, которые путь создания токена пометил как обязательные. SID пользователя также нельзя отключить через AdjustTokenGroups.
Если требуется уменьшить привилегии, создайте ограниченный токен и осознанно преобразуйте выбранные SID в deny-only там, где это поддерживается. Не изменяйте память TOKEN_GROUPS и не повторяйте вызов с теми же флагами: проверки доступа зависят от того, что обязательные группы остаются представленными.
Что проверить
- Определите SID и убедитесь, что установлен SE_GROUP_MANDATORY.
- Если песочнице требуется уменьшенная власть групп, используйте проектирование на основе ограниченного токена.
- Повторно проверьте эффективный доступ, поскольку SID deny-only всё равно участвуют в запрещающих ACE.
Ссылки
- Microsoft: TOKEN_GROUPS
- Microsoft: атрибуты SID в токене доступа
- Microsoft: AdjustTokenGroups
- Microsoft: CreateRestrictedToken
- Открытые спецификации Microsoft: значения NTSTATUS
Нужно найти другой код? Найти другой код состояния или ошибки.