Gruppi di identità speciali

Si applica a: Windows Server 2022, Windows Server 2019, Windows Server 2016

Informazioni sui gruppi di identità speciali di Windows Server (talvolta denominati gruppi di sicurezza) usati per il controllo di accesso di Windows.

Che cos'è un gruppo di identità speciale?

I gruppi di identità speciali sono simili ai gruppi di sicurezza di Active Directory elencati nei contenitori Utenti e BuiltIn di Active Directory. I gruppi di identità speciali possono offrire un modo efficiente per assegnare l'accesso alle risorse nella rete. Usando gruppi di identità speciali, è possibile:

• Assegnare i diritti utente ai gruppi di sicurezza in Active Directory.

• Assegnare autorizzazioni ai gruppi di sicurezza per accedere alle risorse.

Funzionamento dei gruppi di identità speciali in Windows Server

Se un server esegue una delle versioni del sistema operativo Windows Server mostrato in Si applica a all'inizio di questo articolo, il server dispone di diversi gruppi di identità speciali. Questi gruppi di identità speciali non dispongono di appartenenze specifiche che è possibile modificare, ma possono rappresentare utenti diversi in momenti diversi a seconda delle circostanze.

Sebbene sia possibile assegnare diritti e autorizzazioni per risorse specifiche a un gruppo di identità speciale, non è possibile visualizzare o modificare l'appartenenza di un gruppo di identità speciale. Gli ambiti di gruppo non si applicano a gruppi di identità speciali. Gli utenti vengono assegnati automaticamente a gruppi di identità speciali quando effettuano l’accesso o accedono a una risorsa specifica.

Per informazioni sui gruppi di sicurezza e sugli ambiti di gruppo di Active Directory, vedere Gruppi di sicurezza di Active Directory.

Gruppi di identità speciali predefiniti

I gruppi di identità speciali predefiniti in Windows Server sono descritti nell'elenco seguente:

• Accesso anonimo
• Proprietà della chiave attestata
• Utenti autenticati
• Identità dichiarata dell'autorità di autenticazione
• Batch
• Accesso alla console
• Gruppo creatore
• Proprietario
• Dialup
• Autenticazione digest
• Controller di dominio aziendali
• Controller di dominio di sola lettura organizzazione
• Tutti
• Identità nuova chiave pubblica
• Interattivo
• IUSR
• Attendibilità chiave
• Servizio locale
• LocalSystem
• Proprietà della chiave MFA
• Rete
• Servizio di rete
• Autenticazione NTLM
• Altra organizzazione
• Diritti di proprietario
• Self dell’entità di sicurezza
• Proxy
• Controller di dominio di sola lettura
• Accesso interattivo remoto
• Con restrizioni
• Autenticazione SChannel
• Servizio
• Identità dichiarata del servizio
• Utente di Terminal Server
• Questa organizzazione
• Window Manager\Window Manager Group

Accesso anonimo

Qualsiasi utente che accede al sistema tramite un accesso anonimo ha l'identità di accesso anonimo. Questa identità consente l'accesso anonimo alle risorse, ad esempio a una pagina Web pubblicata in un server aziendale. Il gruppo Accesso anonimo non è un membro del gruppo Everyone per impostazione predefinita.

Proprietà della chiave attestata

Identificatore di sicurezza (SID) che indica che l'oggetto trust chiave ha la proprietà di attestazione.

Utenti autenticati

Qualsiasi utente che accede al sistema tramite un processo di accesso ha l'identità degli utenti autenticati. Questa identità consente l'accesso alle risorse condivise all'interno del dominio, ad esempio ai file in una cartella condivisa che devono essere accessibili a tutti i ruoli di lavoro dell'organizzazione. L'appartenenza è controllata dal sistema operativo.

Identità dichiarata dell'autorità di autenticazione

SiD che indica che l'identità del client viene dichiarata da un'autorità di autenticazione in base alla prova di possesso delle credenziali client.

Batch

Qualsiasi utente o processo che accede al sistema come processo batch o tramite la coda batch ha l'identità batch. Questa identità consente ai processi batch di eseguire attività pianificate, ad esempio un processo di pulizia notturna che elimina i file temporanei. L'appartenenza è controllata dal sistema operativo.

Accesso alla console

Gruppo che include gli utenti connessi alla console fisica. Questo SID può essere usato per implementare criteri di sicurezza che concedono diritti diversi in base al fatto che a un utente sia stato concesso l'accesso fisico alla console.

Gruppo creatore

La persona che ha creato un file o una directory è membro di questo gruppo di identità speciale. Il sistema operativo Windows Server usa questa identità per concedere automaticamente le autorizzazioni di accesso all'autore di un file o di una directory.

Un SID segnaposto viene creato in una voce di controllo di accesso ereditabile (ACE). Quando l'ACE viene ereditato, il sistema sostituisce questo SID con il SID per il gruppo primario del proprietario corrente dell'oggetto. Il gruppo primario viene usato solo dal sottosistema POSIX.

Proprietario creatore

La persona che ha creato un file o una directory è membro di questo gruppo di identità speciale. Il sistema operativo Windows Server usa questa identità per concedere automaticamente le autorizzazioni di accesso all'autore di un file o di una directory. Un SID segnaposto viene creato in un ACE ereditabile. Quando l'ACE viene ereditato, il sistema sostituisce questo SID con il SID per il proprietario corrente dell'oggetto.

Dialup (REMOTO)

Qualsiasi utente che accede al sistema tramite una connessione remota ha l'identità Dialup. Questa identità distingue gli utenti di accesso esterno da altri tipi di utenti autenticati.

Autenticazione digest

Controller di dominio organizzazione

Questo gruppo include tutti i controller di dominio in una foresta Active Directory. I controller di dominio con ruoli e responsabilità a livello aziendale hanno l'identità dei controller di dominio aziendali. Questa identità consente ai controller di dominio di eseguire determinate attività nell'organizzazione usando trust transitivi. L'appartenenza è controllata dal sistema operativo.

Controller di dominio di sola lettura organizzazione

Questo gruppo include tutti i controller di dominio di sola lettura (RODC) in un insieme di strutture di Active Directory. Un RODC aziendale può replicare un sottoinsieme più ampio del database di Active Directory, inclusi il catalogo globale e le partizioni di dominio di sola lettura per tutti i domini nella foresta. L'appartenenza è controllata dal sistema operativo.

Tutti

Tutti gli utenti interattivi, di rete, di accesso esterno e autenticati sono membri del gruppo Everyone. Questo gruppo di identità speciale offre un accesso ampio alle risorse di sistema. Quando un utente accede alla rete, l'utente viene aggiunto automaticamente al gruppo Everyone. L'appartenenza è controllata dal sistema operativo.

Nei computer che eseguono Windows 2000 e versioni precedenti, il gruppo Accesso anonimo è un membro predefinito del gruppo Everyone. A partire da Windows Server 2003, il gruppo Everyone contiene solo utenti autenticati e guest. Il gruppo non include più l'accesso anonimo per impostazione predefinita. Per modificare l'impostazione gruppo Everyone per includere il gruppo Accesso anonimo, nell'Editor del Registro di sistema passare alla chiave Computer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa e impostare il valore di everyoneincludesanonymous DWORD su 1.

Nuova identità della chiave pubblica

SID che indica che l'identità del client viene dichiarata da un'autorità di autenticazione in base alla prova del possesso corrente delle credenziali della chiave pubblica del client.

Interattivo

Qualsiasi utente connesso al sistema locale ha l'identità interattiva. Questa identità consente solo agli utenti locali di accedere a una risorsa. Quando un utente accede a una risorsa specifica nel computer a cui è attualmente connesso, l'utente viene aggiunto automaticamente al gruppo Interattivo. L'appartenenza è controllata dal sistema operativo.

IUSR

Internet Information Services (IIS) usa questo account per impostazione predefinita quando è abilitata l'autenticazione anonima.

Attendibilità chiave

Un SID che indica che l'identità del client si basa sulla prova di possesso delle credenziali della chiave pubblica usando l'oggetto trust della chiave.

Servizio locale

L'account del servizio locale è simile all'account utente autenticato. I membri dell'account del servizio locale hanno lo stesso livello di accesso alle risorse e agli oggetti dei membri del gruppo Utenti. Questo accesso limitato protegge il sistema in caso di compromissione di singoli processi o servizi. I servizi eseguiti tramite l'account Servizio locale possono accedere alle risorse di rete come sessione Null senza credenziali. Il nome dell'account è NT AUTHORITY\LocalService. Questo account non ha una password.

LocalSystem

L'account LocalSystem è un account del servizio usato dal sistema operativo. L'account LocalSystem è un account potente che ha accesso completo al sistema e funge da computer in rete. Se un servizio accede all'account LocalSystem in un controller di dominio, tale servizio ha accesso all'intero dominio. Alcuni servizi sono configurati per impostazione predefinita per accedere all'account LocalSystem. Non modificare l'impostazione predefinita del servizio. Il nome dell'account è LocalSystem. Questo account non ha una password.

Proprietà della chiave MFA

SID che indica che l'oggetto trust della chiave ha la proprietà di autenticazione a più fattori (MFA).

Network

Questo gruppo include in modo implicito tutti gli utenti connessi tramite una connessione di rete. Qualsiasi utente che accede al sistema tramite una rete ha l'identità di rete. Questa identità consente solo agli utenti remoti di accedere a una risorsa. Quando un utente accede a una risorsa specifica in rete, l'utente viene aggiunto automaticamente al gruppo di rete. L'appartenenza è controllata dal sistema operativo.

Network Service (Servizio di rete)

L'account del servizio di rete è simile all'account utente autenticato. I membri dell'account del servizio di rete hanno lo stesso livello di accesso alle risorse e agli oggetti dei membri del gruppo Utenti. Questo accesso limitato protegge il sistema in caso di compromissione di singoli processi o servizi. I servizi eseguiti con l'account Servizio di rete accedono alle risorse di rete utilizzando le credenziali dell'account del computer. Il nome dell'account è NT AUTHORITY\NetworkService. Questo account non ha una password.

Autenticazione NTLM

Altra organizzazione

Questo gruppo include in modo implicito tutti gli utenti connessi al sistema tramite una connessione remota. L'appartenenza è controllata dal sistema operativo.

Diritti di proprietario

Il gruppo Diritti di proprietario rappresenta il proprietario corrente dell'oggetto. Quando un ACE che porta questo SID viene applicato a un oggetto, il sistema ignora le autorizzazioni implicite READ_CONTROL e WRITE_DAC per il proprietario dell'oggetto.

Self dell'entità di sicurezza

Questa identità è un segnaposto in un ACE per un utente, un gruppo o un oggetto computer in Active Directory. Quando si concedono le autorizzazioni a Self dell'entità di sicurezza, si concedono le autorizzazioni all'entità di sicurezza rappresentata dall'oggetto. Durante un controllo di accesso, il sistema operativo sostituisce il SID per Self dell’entità di sicurezza con il SID per l'entità di sicurezza rappresentata dall'oggetto.

Proxy

Identifica un proxy SECURITY_NT_AUTHORITY.

Controller di dominio di sola lettura

Questo gruppo include tutti i RODC nel dominio con diritti di sola lettura per il database di Active Directory. Ad eccezione delle password degli account, un RODC contiene tutti gli oggetti e gli attributi di Active Directory contenuti in un controller di dominio scrivibile. Consente la distribuzione del controller di dominio quando la sicurezza fisica è scarsa o non garantita. I RODC sono membri espliciti di questo gruppo.

Accesso interattivo remoto

Questa identità rappresenta tutti gli utenti attualmente connessi a un computer tramite una connessione Remote Desktop Protocol. Questo gruppo è un subset del gruppo Interattivo. I token di accesso che contengono il SID Remote Interactive Logon contengono anche il SID Interactive.

Limitata

Gli utenti e i computer con funzionalità limitate hanno l'identità con restrizioni. Questo gruppo di identità viene usato da un processo in esecuzione in un contesto di sicurezza con restrizioni, ad esempio l'esecuzione di un'applicazione con il servizio RunAs. Quando il codice viene eseguito a livello di sicurezza con restrizioni, il SID con restrizioni viene aggiunto al token di accesso dell'utente.

Autenticazione SChannel

Service

Qualsiasi servizio che accede al sistema ha l'identità del servizio. Questo gruppo di identità include tutte le entità di sicurezza che hanno eseguito l'accesso come servizio. Questa identità concede l'accesso ai processi in esecuzione dei servizi Windows Server. L'appartenenza è controllata dal sistema operativo.

Identità dichiarata del servizio

SID che indica che l'identità del client viene dichiarata da un servizio.

Utenti di Terminal Server

Tutti gli utenti che accedono al sistema tramite Servizi terminal hanno l'identità utente terminal server. Questa identità consente agli utenti di accedere alle applicazioni Terminal Server e di eseguire altre attività necessarie con i servizi Terminal Server. L'appartenenza è controllata dal sistema operativo.

This Organization (Questa organizzazione)

Window Manager\Window Manager Group

Vedi anche

• Gruppi di sicurezza di Active Directory

• Entità di sicurezza

• Panoramica del controllo di accesso