AcceptSecurityContext (Digest) 関数

AcceptSecurityContext (Digest) 関数により、トランスポート アプリケーションのサーバー コンポーネントは、サーバーとリモート クライアントの間に セキュリティ コンテキスト を確立できるようになります。 リモート クライアントは、 InitializeSecurityContext (Digest) 関数を使用して、セキュリティ コンテキストを確立するプロセスを開始します。 サーバーは、セキュリティ コンテキストの確立を完了するために、リモート クライアントから 1 つ以上の応答トークンを要求する場合があります。

構文

SECURITY_STATUS SEC_Entry AcceptSecurityContext(
  _In_opt_    PCredHandle    phCredential,
  _Inout_opt_ PCtxtHandle    phContext,
  _In_opt_    PSecBufferDesc pInput,
  _In_        ULONG          fContextReq,
  _In_        ULONG          TargetDataRep,
  _Inout_opt_ PCtxtHandle    phNewContext,
  _Inout_opt_ PSecBufferDesc pOutput,
  _Out_       PULONG         pfContextAttr,
  _Out_opt_   PTimeStamp     ptsExpiry
);

パラメーター

phCredential [in, optional]

サーバーの資格情報へのハンドル。 サーバーは、SECPKG_CRED_INBOUND または SECPKG_CRED_BOTH フラグのいずれかを設定して AcquireCredentialsHandle (Digest) 関数を呼び出し、このハンドルを取得します。

phContext [in, out, optional]

CtxtHandle 構造体へのポインター。 AcceptSecurityContext (Digest) への最初の呼び出しでは、このポインターは NULLです。 後続の呼び出しでは、 phContext は、最初の呼び出しによって phNewContext パラメータで返された、部分的に形成されたコンテキストへのハンドルです。

pInput [in, optional]

入力バッファ記述子を含む InitializeSecurityContext (Digest) へのクライアント呼び出しによって生成された SecBufferDesc 構造体へのポインタ。

次の表は、ダイジェスト HTTP のバッファ構成を示しています。 最初のバッファは SECBUFFER_TOKENタイプである必要があり、残りのバッファは SECBUFFER_PKG_PARAMSタイプである必要があります。 SASL ではバッファ 0 のみが必要です。

fContextReq [in]

コンテキストを確立するためにサーバーが必要とする属性を指定するビット フラグ。 ビットフラグは、ビット単位のOR 演算を使用して組み合わせることができます。 このパラメーターには、次の値のいずれかを指定できます。

可能な属性フラグとその意味については、 コンテキスト要件を参照してください。 このパラメータに使用されるフラグには、ASC_REQ というプレフィックスが付きます (例: ASC_REQ_DELEGATE)。

要求された属性は、クライアントでサポートされていない可能性があります。 詳細については、この記事の pfContextAttr パラメーターを参照してください。

TargetDataRep [in]

ターゲット上のバイト順序などのデータ表現。 このパラメータは、 SECURITY_NATIVE_DREP または SECURITY_NETWORK_DREP のいずれかになります。

このパラメータはダイジェスト SSP では使用されません。 Digest SSP を使用する場合は、このパラメータに 0 を指定します。

phNewContext [in, out, optional]

CtxtHandle 構造体へのポインター。 AcceptSecurityContext (Digest) の最初の呼び出し時に、このポインターは新しいコンテキスト ハンドルを受け取ります。 後続の呼び出しでは、 phNewContext は phContext パラメータで指定されたハンドルと同じになる場合があります。 phNewContext は NULL にしないでください。

pOutput [in, out, optional]

出力バッファ記述子を含む SecBufferDesc 構造体へのポインタ。 このバッファは、 InitializeSecurityContext (Digest)への追加呼び出しへの入力としてクライアントに送信されます。 関数が SEC_E_OK を返す場合でも、出力バッファが生成される場合があります。 生成されたバッファはすべてクライアント アプリケーションに送り返す必要があります。

pfContextAttr [out]

確立されたコンテキストの属性を示すビット フラグのセットを受け取る変数へのポインター。 さまざまな属性の説明については、「コンテキスト要件」を参照してください。 このパラメータに使用されるフラグには、ASC_RET というプレフィックスが付きます (例: ASC_RET_DELEGATE)。

最終的な関数呼び出しが正常に返されるまで、セキュリティ関連の属性をチェックしないでください。 ASC_RET_ALLOCATED_MEMORY フラグなど、セキュリティに関連しない属性フラグは、最終的な戻りの前にチェックできます。

ptsTimeStamp [out, optional]

コンテキストの有効期限を受け取る TimeStamp 構造体へのポインター。 セキュリティ パッケージ では、この値を常にローカル時間で返すことをお勧めします。

このパラメータは一定の最大時間に設定されます。 ダイジェスト セキュリティ コンテキストまたは資格情報、あるいはダイジェスト SSP を使用する場合、有効期限はありません。

戻り値

この関数は次のいずれかの値を返します。

解説

AcceptSecurityContext (Digest) 関数は、 InitializeSecurityContext (Digest) 関数のサーバー側対応関数です。

サーバーはクライアントから要求を受信すると、 fContextReq パラメータを使用してセッションに必要な内容を指定します。 この方法では、サーバーはクライアントが機密セッションまたは 整合性チェック済みセッションを使用できる必要があることを指定でき、その要求を満たすことができないクライアントを拒否できます。 あるいは、サーバーは何も要求せず、クライアントが提供できるものや要求するものはすべて pfContextAttr パラメータで返されます。

相互認証などの複数段階の認証をサポートするパッケージの場合、呼び出しシーケンスは次のようになります。

1. クライアントはトークンをサーバーに送信します。
2. サーバーは最初に AcceptSecurityContext (Digest) を呼び出し、応答トークンを生成してクライアントに送信します。
3. クライアントはトークンを受信し、それを InitializeSecurityContext (Digest)に渡します。 InitializeSecurityContext (Digest) が SEC_E_OK を返す場合、相互認証が完了し、安全なセッションを開始できます。 InitializeSecurityContext (Digest) がエラー コードを返す場合、相互認証ネゴシエーションは終了します。 それ以外の場合は、 InitializeSecurityContext (Digest) によって返されたセキュリティ トークンがクライアントに送信され、手順 2 と 3 が繰り返されます。
4. AcceptSecurityContext (Digest) への同時呼び出しでは、 phContext 値を使用しないでください。 セキュリティ プロバイダーの実装はスレッド セーフではありません。

fContextReq および pfContextAttr パラメータは、さまざまなコンテキスト属性を表すビットマスクです。 さまざまな属性の説明については、「コンテキスト要件」を参照してください。

呼び出し元は、最終的なコンテキスト属性が十分かどうかを判断します。 たとえば、機密性 (暗号化) が要求されたが確立できなかった場合、一部のアプリケーションでは接続を直ちにシャットダウンすることを選択する場合があります。 セキュリティ コンテキスト を確立できない場合、サーバーは DeleteSecurityContext 関数を呼び出して、部分的に作成されたコンテキストを解放する必要があります。 DeleteSecurityContext 関数を呼び出すタイミングについては、 DeleteSecurityContextを参照してください。

セキュリティ コンテキスト が確立された後、サーバー アプリケーションは QuerySecurityContextToken 関数を使用して、クライアント証明書がマップされたユーザー アカウントへのハンドルを取得できます。 また、サーバーは ImpersonateSecurityContext 関数を使用してユーザーを偽装することもできます。

要件

関連項目

SSPI 関数

DeleteSecurityContext

InitializeSecurityContext (Digest)