IEffectivePermission2
COM公式ドキュメント
セキュリティプリンシパルがオブジェクトに対して持つ実効アクセス許可を判定する手段を提供します。
解説(Remarks)
IEffectivePermission2 インターフェイスは、動的アクセス制御をサポートするリソースマネージャー、またはオブジェクトへの実効アクセスがセキュリティ記述子とファイアウォールなど複数のセキュリティチェックによって決定されるリソースマネージャーが実装します。
リソースマネージャーは通常、IEffectivePermission2 を実装する前に ISecurityInformation4 を実装します。これは、IEffectivePermission2 が GetSecondarySecurity メソッドから返される SECURITY_OBJECT を解釈するためです。
IEffectivePermission2 インターフェイスを実装した場合、IEffectivePermission インターフェイスは使用されません。
メソッド 1
vtbl = vtable インデックス(0始まり)。HSP等からCOMメソッドをインデックス指定で呼ぶ際に使用します。0〜2 は IUnknown。
オブジェクトのセカンダリセキュリティを使用して実効アクセス許可を計算します。
| pSid | PSID | in | 実効アクセス許可を判定する対象のセキュリティプリンシパルを表す SID 構造体へのポインター。 |
| pDeviceSid | PSID | inoptional | プリンシパルがオブジェクトにアクセスする際のデバイスを表す SID 構造体へのポインター。これが NULL でなく、かつ実効アクセス許可の計算に AuthzAccessCheck 関数を使用している場合、AuthzInitializeCompoundContext 関数を使用してデバイス SID を pSid パラメーターと複合できます。 |
| pszServerName | LPWSTR | in | オブジェクトが存在するサーバーの名前。ISecurityInformation::GetObjectInformation メソッドから返される名前と同じです。 |
| pSecurityObjects | SECURITY_OBJECT* | inout | セキュリティオブジェクトの配列。この配列は、ISecurityInformation4::GetSecondarySecurity メソッドから返されたオブジェクトに加えて、アクセス制御エディターが推定したオブジェクトで構成されます。 |
| dwSecurityObjectCount | DWORD | in | pSecurityObjects パラメーター内のセキュリティオブジェクトの数、および pEffpermResultLists パラメーター内の結果リストの数。 |
| pUserGroups | TOKEN_GROUPS* | inoptional | pSid パラメーターから初期化されたセキュリティコンテキストを変更するために使用する追加のユーザーグループへのポインター。実効アクセス許可の計算に AuthzAccessCheck 関数を使用している場合、SidClass パラメーターに AuthzContextInfoGroupsSids を指定して AuthzModifySids 関数を呼び出すことで変更できます。 |
| pAuthzUserGroupsOperations | AUTHZ_SID_OPERATION* | inoptional | pUserGroups 引数内の各ユーザーグループについて、authz コンテキスト内のユーザーグループをどのように変更するかを指定する AUTHZ_SID_OPERATION 構造体の配列へのポインター。この配列には、pUserGroups パラメーター内のグループ数と同じ数の要素が含まれます。 |
| pDeviceGroups | TOKEN_GROUPS* | inoptional | pSid パラメーターから初期化されたセキュリティコンテキスト、または pSid と pDeviceSid パラメーターから初期化されたコンテキストを複合して作成されたセキュリティコンテキストを変更するために使用する追加のデバイスグループへのポインター。実効アクセス許可の計算に AuthzAccessCheck 関数を使用している場合、SidClass パラメーターに AuthzContextInfoDeviceSids を指定して AuthzModifySids 関数を呼び出すことで変更できます。 |
| pAuthzDeviceGroupsOperations | AUTHZ_SID_OPERATION* | inoptional | pDeviceGroups 引数内の各デバイスグループについて、authz コンテキスト内のデバイスグループをどのように変更するかを指定する AUTHZ_SID_OPERATION 列挙型の配列へのポインター。この配列には、pDeviceGroups パラメーター内のグループ数と同じ数の要素が含まれます。 |
| pAuthzUserClaims | AUTHZ_SECURITY_ATTRIBUTES_INFORMATION* | inoptional | pSid パラメーターから初期化されたセキュリティコンテキストを変更するために使用するユーザークレームコンテキストを含む AUTHZ_SECURITY_ATTRIBUTES_INFORMATION 構造体へのポインター。実効アクセス許可の計算に AuthzAccessCheck 関数を使用している場合、ClaimClass パラメーターに AuthzContextInfoUserClaims を指定して AuthzModifyClaims 関数を呼び出すことで変更できます。 |
| pAuthzUserClaimsOperations | AUTHZ_SECURITY_ATTRIBUTE_OPERATION* | inoptional | ユーザークレームコンテキストに関連付けられた操作を指定する AUTHZ_SECURITY_ATTRIBUTE_OPERATION 列挙型へのポインター。 |
| pAuthzDeviceClaims | AUTHZ_SECURITY_ATTRIBUTES_INFORMATION* | inoptional | pSid パラメーターから初期化されたセキュリティコンテキスト、または pSid と pDeviceSid パラメーターから初期化されたコンテキストを複合して作成されたセキュリティコンテキストを変更するために使用するデバイスクレームコンテキストへのポインター。これは、pDeviceSid パラメーターが指定されていない場合でも、呼び出し側が指定できます。実効アクセス許可の計算に AuthzAccessCheck 関数を使用している場合、ClaimClass パラメーターに AuthzContextInfoDeviceClaims を指定して AuthzModifyClaims 関数を呼び出すことで変更できます。 |
| pAuthzDeviceClaimsOperations | AUTHZ_SECURITY_ATTRIBUTE_OPERATION* | inoptional | デバイスクレームコンテキストに関連付けられた操作を指定する AUTHZ_SECURITY_ATTRIBUTE_OPERATION 列挙型へのポインター。 |
| pEffpermResultLists | EFFPERM_RESULT_LIST* | inout | EFFPERM_RESULT_LIST 型の実効アクセス許可の結果の配列へのポインター。この配列の長さは dwSecurityObjectCount 要素です。配列は呼び出し側が初期化し、実装は配列内の各メンバーのすべてのフィールドを設定して、対応するセキュリティオブジェクトによって付与されたアクセスを示すことが求められます。 セキュリティオブジェクトが評価された場合、fEvaluated メンバーを TRUE に設定します。この場合、pObjectTypeList メンバーと pGrantedAccessList メンバーはどちらも cObjectTypeListLength 要素の長さである必要があります。pObjectTypeList メンバーは、リソースマネージャーが所有するメモリを指す必要があり、EditSecurity 関数が終了するまで有効なままである必要があります。pGrantedAccessList メンバーは、呼び出し側が LocalFree 関数を使用して解放します。リソースマネージャーがオブジェクト ACE をサポートしていない場合、pObjectTypeList メンバーは NULL GUID を指し、cObjectTypeListLength メンバーは 1 で、pGrantedAccessList メンバーは単一の DWORD である必要があります。 |
戻り値
関数が成功した場合、戻り値は S_OK です。
関数が成功したものの近似的な結果を返した場合、戻り値は S_FALSE です。
関数が失敗した場合、戻り値はエラーを示す HRESULT です。一般的なエラーコードの一覧については、Common HRESULT Values を参照してください。
解説(Remarks)
SECURITY_OBJECT 構造体の Id メンバーが SECURITY_OBJECT_ID_CENTRAL_ACCESS_RULE に設定されている場合、ComputeEffectivePermissionWithSecondarySecurity メソッドは、まず pData2 メンバーを使用し、その後にのみ pData メンバーを使用してアクセスを評価する必要があります。
呼び出し側は、実効アクセス許可の判定に AuthzAccessCheck を使用することが想定されています。可能な場合、実装は、プリンシパルが実際にオブジェクトにアクセスするときと同じ方法でグループとクレームが初期化されるようにするため、AuthzInitializeRemoteResourceManager 関数を使用して、指定された pszServerName メンバー上でリモートリソースマネージャーを初期化する必要があります。AuthzInitializeRemoteResourceManager が失敗した場合、実装は AuthzInitializeResourceManager 関数の使用にフォールバックし、近似的な結果が返されることを示すために S_FALSE を返すことができます。
fEvaluated メンバーが TRUE に設定された各セカンダリセキュリティオブジェクトについて、アクセス制御エディターは、pwszName メンバーを使用して、そのオブジェクトによってどのアクセス許可とプロパティが制限されたかを表示します。
Microsoft 公式リファレンス: 英語 (en-us) · 日本語 (ja-jp) · 原文ソース (GitHub)
HSP用 COM定義
#usecom / #comfunc によるHSPのCOM呼び出し定義。数字は vtbl インデックス(0始まり)。クラスIDが無い場合 #usecom の末尾は "{}"、ある場合は "{CLSID}"。
#define global IID_IEffectivePermission2 "{941FABCA-DD47-4FCA-90BB-B0E10255F20D}" #usecom global IEffectivePermission2 IID_IEffectivePermission2 "{}" #comfunc global IEffectivePermission2_ComputeEffectivePermissionWithSecondarySecurity 3 sptr,sptr,wstr,var,int,var,var,var,var,var,var,var,var,var ; ※数字は vtbl インデックス(0始まり)。0/1/2 は IUnknown(QueryInterface/AddRef/Release)。 ; ※このインターフェースは直接 CoCreateInstance するクラスIDが無いため "{}"(他メソッド/アクティベーションで取得)。 ; ※出力/バッファ引数は var(変数直渡し)。varptr 方式にも切替可。 ; ※ハンドル/void*等の不透明ポインタは IronHSP では intptr 指定が可能。#define global IID_IEffectivePermission2 "{941FABCA-DD47-4FCA-90BB-B0E10255F20D}" #usecom global IEffectivePermission2 IID_IEffectivePermission2 "{}" #comfunc global IEffectivePermission2_ComputeEffectivePermissionWithSecondarySecurity 3 sptr,sptr,wstr,sptr,int,sptr,sptr,sptr,sptr,sptr,sptr,sptr,sptr,sptr ; ※数字は vtbl インデックス(0始まり)。0/1/2 は IUnknown(QueryInterface/AddRef/Release)。 ; ※このインターフェースは直接 CoCreateInstance するクラスIDが無いため "{}"(他メソッド/アクティベーションで取得)。 ; ※出力/バッファ引数はポインタ方式(token=sptr / 呼び出しは varptr(変数))。 ; ※ハンドル/void*等の不透明ポインタは IronHSP では intptr 指定が可能。