c++ - 如何为 AD 组使用 AllocateAndInitializeSid？

Question

我想为域管理员组创建一个 SID 并将其传递给 CheckTokenMembership 以确定给定的 AD 用户是否属于该组。但是，我不太确定哪些标识符权限和子权限应该与 AllocateAndInitializeSid 一起使用。到目前为止，我看到的所有“有效”示例都只处理本地组。

例子:

SID_IDENTIFIER_AUTHORITY ntAuthority = SECURITY_NT_AUTHORITY;
PSID adminGroup;

AllocateAndInitializeSid(&ntAuthority,
                         2,
                         SECURITY_BUILTIN_DOMAIN_RID,
                         DOMAIN_ALIAS_RID_ADMINS,
                         0, 0, 0, 0, 0, 0,
                         &adminGroup);

应该使用什么权限和子权限来为 AD 管理员组创建 SID？我用 SECURITY_NT_AUTHORITY 尝试了 DOMAIN_GROUP_RID_ADMINS 和 DOMAIN_USER_RID_ADMIN 但 CheckTokenMembership 总是报告给定用户不是该组的成员这是不正确的。

任何示例和指向在线文档的指针都将不胜感激。

Answer 1

您可以使用 LsaQueryInformationPolicy()使用 PolicyDnsDomainInformation 检索计算机主域的 SID。

或者，如果您知道您正在查询的帐户与您感兴趣的域管理员组属于同一个域，您可以使用 GetWindowsAccountDomainSid()从帐户 SID 中提取域 SID。

获得域 SID 后，您可以使用 CreateWellKnownSid()为域管理员组创建 SID。使用 WinAccountDomainAdminsSid 选项。然后就像您已经建议的那样调用 CheckTokenMembership() 即可。