セキュリティ記述子定義言語

セキュリティ記述子定義言語（セキュリティきじゅつしていぎげんご、英：Security Descriptor Definition Language、SSDL）は、バイナリデータであるセキュリティ記述子を比較的人間が解釈できる形に表し直すために使用される言語。

相互変換が可能であり、定義言語の詳細は詳しく公式ドキュメントに記載されている。所有者SID、所有者が所属するグループSID、DACLのACE群、SACLのACE群で構成されている。

構文 以下の4行が大まかな構文であり、明示的なSID文字列を除き、すべて、後述する独自の文字列で構成されている。

O:オーナーSID G:グループSID D:DADLフラグ(ACE文字列1)(ACE文字列2)...(ACE文字列N) S:SACLフラグ(ACE文字列1)(ACE文字列2)...(ACE文字列N)

所有者SID オブジェクトの所有者のSIDを表す、SIDエイリアス（後述）または標準のSID文字列。

グループSID オブジェクトの所有者が所属するグループのSIDを表す、SIDエイリアス（後述）または標準のSID文字列。

DACLフラグ/SACLフラグ +文字列 Ssdl.hでの定数名 意味 P SDDL_PROTECTED ACLは保護されている。 AR SDDL_AUTO_INHERIT_REQ ACLを自動的に継承することを要求する。 AI SDDL_AUTO_INHERITED ACLを自動的に継承する。 NO_ACCESS_CONTROL SDDL_NULL_ACL ACLがNULL（誰にでもフルアクセスを許可）。

ACE文字列

ACEの種類;ACEフラグ;アクセス権;オブジェクトGUID;継承オブジェクトGUID;アカウントSID;(リソース属性)

ACEの種類

ACEフラグ

アクセス権

オブジェクトGUID

継承オブジェクトGUID

アカウントSID

リソース属性

SIDエイリアス 主要なSIDエイリアスの例は以下の通りである。エイリアスの一覧は公式ドキュメントを参照のこと。

+ 文字列 Ssdl.hでの定数名 対応するRID 意味 AO SDDL_ACCOUNT_OPERATORS DOMAIN_ALIAS_RID_ACCOUNT_OPS アカウント オペレーター。 DA SDDL_DOMAIN_ADMINISTRATORS DOMAIN_GROUP_RID_ADMINS ドメイン管理者。 SY SDDL_LOCAL_SYSTEM SECURITY_LOCAL_SYSTEM_RID ローカル システム。

例 O:DA G:DA D:(A;;RPWPCCDCLCRCWOWDSDSW;;;SY)(A;;RPWPCCDCLCRCWOWDSDSW;;;DA)(A;;RPLCRC;;;AU) S:(AU;SAFA;WDWOSDWPCCDCSW;;;WD) は、解釈すると以下の通りである。 SD: Owner: S-1-5-21-397955417-626881126-188441444-512 Group: S-1-5-21-397955417-626881126-188441444-512 DACL: ACE1: SID: S-1-5-18 Type: ACCESS_ALLOWED_ACE_TYPE Inherit: なし Rights: DELETE + READ_CONTROL + WRITE_DAC + WRITE_OWNER + その他(0x0000003f) ACE2: SID: S-1-5-21-397955417-626881126-188441444-512 Type: ACCESS_ALLOWED_ACE_TYPE Inherit: なし Rights: DELETE + READ_CONTROL + WRITE_DAC + WRITE_OWNER + その他(0x0000003f) ACE3: SID: S-1-5-11 Type: ACCESS_ALLOWED_ACE_TYPE Inherit: なし Rights: READ_CONTROL + その他(0x00000014) SACL: ACE1: SID: S-1-1-0 Type: SYSTEM_AUDIT_ACE_TYPE Inherit: SUCCESSFUL_ACCESS_ACE_FLAG + FAILED_ACCESS_ACE_FLAG Rights: DELETE + WRITE_DAC + WRITE_OWNER + その他(0x0000002b)

参照

認可 (セキュリティ) コンピュータセキュリティ 情報セキュリティ セキュリティ識別子 セキュリティ記述子

脚注 出典