> For the complete documentation index, see [llms.txt](https://rootclay.gitbook.io/windows-access-control/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://rootclay.gitbook.io/windows-access-control/sid-strings.md). # （三）SID字符串 ## SID字符串 在安全描述符定义语言（SDDL）中，安全描述符字符串将SID字符串用于安全描述符的以下部分： * Owner * Primary group * The [trustee](https://docs.microsoft.com/zh-cn/windows/win32/secauthz/trustees) in an ACE 安全描述符字符串中的SID字符串可以使用SID的标准字符串表示形式（S-R-I-S-S）或Sddl.h中定义的字符串常量之一。 在Sddl.h中定义了以下用于常见SID的SID字符串常量。 | SDDL SID 字符串 | Sddl.h 中的长度 | 帐户别名和相应的RID | | ------------ | ------------------------------------- | -------------------------------------------------------------------------------------------------------- | | "AN" | SDDL\_ANONYMOUS | 匿名登录。相应的RID为SECURITY\_ANONYMOUS\_LOGON\_RID | | "AO" | SDDL\_ACCOUNT\_OPERATORS | 帐户操作员。相应的RID为DOMAIN\_ALIAS\_RID\_ACCOUNT\_OPS。 | | "AU" | SDDL\_AUTHENTICATED\_USERS | 经过身份验证的用户。相应的RID是SECURITY\_AUTHENTICATED\_USER\_RID。 | | "BA" | SDDL\_BUILTIN\_ADMINISTRATORS | 内置管理员。相应的RID是DOMAIN\_ALIAS\_RID\_ADMINS。 | | "BG" | SDDL\_BUILTIN\_GUESTS | 内置来宾。相应的RID是DOMAIN\_ALIAS\_RID\_GUESTS。 | | "BO" | SDDL\_BACKUP\_OPERATORS | 备份运算符。相应的RID是DOMAIN\_ALIAS\_RID\_BACKUP\_OPS。 | | "BU" | SDDL\_BUILTIN\_USERS | 内置用户。相应的RID是DOMAIN\_ALIAS\_RID\_USERS。 | | "CA" | SDDL\_CERT\_SERV\_ADMINISTRATORS | 证书发布者。相应的RID是DOMAIN\_GROUP\_RID\_CERT\_ADMINS。 | | "CD" | SDDL\_CERTSVC\_DCOM\_ACCESS | 可以使用分布式组件对象模型（DCOM）连接到证书颁发机构的用户。相应的RID是DOMAIN\_ALIAS\_RID\_CERTSVC\_DCOM\_ACCESS\_GROUP。 | | "CG" | SDDL\_CREATOR\_GROUP | 创作者组。相应的RID是SECURITY\_CREATOR\_GROUP\_RID。 | | "CO" | SDDL\_CREATOR\_OWNER | 创作者所有者。相应的RID是SECURITY\_CREATOR\_OWNER\_RID。 | | "DA" | SDDL\_DOMAIN\_ADMINISTRATORS | 域管理员。相应的RID为DOMAIN\_GROUP\_RID\_ADMINS。 | | "DC" | SDDL\_DOMAIN\_COMPUTERS | 域计算机。相应的RID是DOMAIN\_GROUP\_RID\_COMPUTERS。 | | "DD" | SDDL\_DOMAIN\_DOMAIN\_CONTROLLERS | 域控制器。相应的RID是DOMAIN\_GROUP\_RID\_CONTROLLERS。 | | "DG" | SDDL\_DOMAIN\_GUESTS | 域来宾。相应的RID是DOMAIN\_GROUP\_RID\_GUESTS。 | | "DU" | SDDL\_DOMAIN\_USERS | 域用户。相应的RID是DOMAIN\_GROUP\_RID\_USERS。 | | "EA" | SDDL\_ENTERPRISE\_ADMINS | 企业管理员。相应的RID为DOMAIN\_GROUP\_RID\_ENTERPRISE\_ADMINS。 | | "ED" | SDDL\_ENTERPRISE\_DOMAIN\_CONTROLLERS | 企业域控制器。相应的RID是SECURITY\_SERVER\_LOGON\_RID。 | | "HI" | SDDL\_ML\_HIGH | 高诚信度。相应的RID是SECURITY\_MANDATORY\_HIGH\_RID。 | | "IU" | SDDL\_INTERACTIVE | 交互式登录的用户。这是在以交互方式登录时添加到进程令牌中的组标识符。相应的登录类型为LOGON32\_LOGON\_INTERACTIVE。相应的RID是SECURITY\_INTERACTIVE\_RID。 | | "LA" | SDDL\_LOCAL\_ADMIN | 本地管理员。相应的RID是DOMAIN\_USER\_RID\_ADMIN。 | | "LG" | SDDL\_LOCAL\_GUEST | 当地客人。相应的RID为DOMAIN\_USER\_RID\_GUEST。 | | "LS" | SDDL\_LOCAL\_SERVICE | 本地服务帐户。相应的RID是SECURITY\_LOCAL\_SERVICE\_RID。 | | "LW" | SDDL\_ML\_LOW | 完整性等级低。相应的RID是SECURITY\_MANDATORY\_LOW\_RID。 | | "ME" | SDDL\_MLMEDIUM | 中等完整性级别。相应的RID是SECURITY\_MANDATORY\_MEDIUM\_RID。 | | "MU" | SDDL\_PERFMON\_USERS | 性能监视器用户。 | | "NO" | SDDL\_NETWORK\_CONFIGURATION\_OPS | 网络配置运营商。相应的RID是DOMAIN\_ALIAS\_RID\_NETWORK\_CONFIGURATION\_OPS。 | | "NS" | SDDL\_NETWORK\_SERVICE | 网络服务帐户。相应的RID是SECURITY\_NETWORK\_SERVICE\_RID。 | | "NU" | SDDL\_NETWORK | 网络登录用户。这是在通过网络登录时添加到进程令牌中的组标识符。相应的登录类型为LOGON32\_LOGON\_NETWORK。相应的RID是SECURITY\_NETWORK\_RID。 | | "PA" | SDDL\_GROUP\_POLICY\_ADMINS | 组策略管理员。相应的RID为DOMAIN\_GROUP\_RID\_POLICY\_ADMINS。 | | "PO" | SDDL\_PRINTER\_OPERATORS | 打印机操作员。相应的RID是DOMAIN\_ALIAS\_RID\_PRINT\_OPS。 | | "PS" | SDDL\_PERSONAL\_SELF | 主要自我。相应的RID是SECURITY\_PRINCIPAL\_SELF\_RID。 | | "PU" | SDDL\_POWER\_USERS | 超级用户。相应的RID是DOMAIN\_ALIAS\_RID\_POWER\_USERS。 | | "RC" | SDDL\_RESTRICTED\_CODE | 受限制的代码。这是使用CreateRestrictedToken函数创建的受限令牌。相应的RID为SECURITY\_RESTRICTED\_CODE\_RID。 | | "RD" | SDDL\_REMOTE\_DESKTOP | 终端服务器用户。相应的RID是DOMAIN\_ALIAS\_RID\_REMOTE\_DESKTOP\_USERS。 | | "RE" | SDDL\_REPLICATOR | 复制器。相应的RID是DOMAIN\_ALIAS\_RID\_REPLICATOR。 | | "RO" | SDDL\_ENTERPRISE\_RO\_DCs | 企业只读域控制器。相应的RID为DOMAIN\_GROUP\_RID\_ENTERPRISE\_READONLY\_DOMAIN\_CONTROLLERS。 | | "RS" | SDDL\_RAS\_SERVERS | RAS服务器组。相应的RID是DOMAIN\_ALIAS\_RID\_RAS\_SERVERS。 | | "RU" | SDDL\_ALIAS\_PREW2KCOMPACC | 为使用与Windows 2000之前的操作系统兼容的应用程序的帐户授予权限的别名。相应的RID为DOMAIN\_ALIAS\_RID\_PREW2KCOMPACCESS。 | | "SA" | SDDL\_SCHEMA\_ADMINISTRATORS | 架构管理员。相应的RID是DOMAIN\_GROUP\_RID\_SCHEMA\_ADMINS。 | | "SI" | SDDL\_ML\_SYSTEM | 系统完整性级别。相应的RID是SECURITY\_MANDATORY\_SYSTEM\_RID。 | | "SO" | SDDL\_SERVER\_OPERATORS | 服务器操作员。相应的RID是DOMAIN\_ALIAS\_RID\_SYSTEM\_OPS。 | | "SU" | SDDL\_SERVICE | 服务登录用户。这是在作为服务登录时添加到进程令牌中的组标识符。相应的登录类型为LOGON32\_LOGON\_SERVICE。相应的RID是SECURITY\_SERVICE\_RID。 | | "SY" | SDDL\_LOCAL\_SYSTEM | 本地系统。相应的RID是SECURITY\_LOCAL\_SYSTEM\_RID。 | | "WD" | SDDL\_EVERYONE | 每个人。相应的RID是SECURITY\_WORLD\_RID。 | `ConvertSidToStringSid`和`ConvertStringSidToSid`函数始终使用标准SID字符串表示法，并且不支持SDDL SID字符串常量。