| Предыдущий | Следующий |
| ERROR_ALLOTTED_SPACE_EXCEEDED | ERROR_BAD_IMPERSONATION_LEVEL |
ERROR_INVALID_GROUP_ATTRIBUTES
SID группы сопоставлен с недопустимым набором атрибутов маркера доступа
Записи групп в TOKEN_GROUPS являются структурами SID_AND_ATTRIBUTES. Флаги определяют, включён ли SID для проверок доступа, обязателен, используется только для запрета, является SID целостности или входа либо может быть владельцем. Некоторые комбинации имеют определённую семантику, а другие не представляют допустимое состояние группы маркера. Ошибка относится к атрибутам маркера, а не к атрибутам каталога или области группы Active Directory.
Выведите точные SID и битовые маски всех записей. Проверьте, например, попытку одновременно включить deny-only SID или перенос внутренних атрибутов входа в самостоятельно построенный маркер без соответствующей семантики. При изменении существующего маркера используйте документированные API вместо восстановления TOKEN_GROUPS по догадке. Если сведения проверки получены от пакета аутентификации, проверьте его вывод и раскрытие групп до построения маркера LSA.
Что проверить
- Запишите каждый SID группы с точной маской Attributes.
- Сравните флаги с семантикой TOKEN_GROUPS и взаимоисключающими состояниями.
- Определите, создана ли неверная запись вызывающим кодом или пакетом аутентификации.
Ссылки
Нужно найти другой код? Найти другой код состояния или ошибки.