条件付き ACE 用のセキュリティ記述子定義言語

条件付きアクセス制御エントリ (ACE) を使用すると、アクセスチェックの実行時にアクセス条件を評価できます。 セキュリティ記述子定義言語 (SDDL) には、文字列形式で条件付き ACE を定義するための構文が用意されています。

条件付き ACE の SDDL は、ACE の場合と同じで、条件付きステートメントの構文が ACE 文字列の末尾に追加されます。 SDDL の詳細については、「セキュリティ記述子定義言語」を参照してください。

"#" 記号は、リソース属性の "0" と同意語です。 たとえば、D:AI(XA;OICI;FA;;;WD;(OctetStringType==#1#2#3##)) は D:AI(XA;OICI;FA;;;WD;(OctetStringType==#01020300)) と同様で、解釈されます。

• 条件付き ACE 文字列形式
• 条件式
• 属性
• 演算子
• 演算子の優先順位
• 不明な値
• 条件付き ACE 評価
• 使用例
• 関連トピック

条件付き ACE 文字列形式

セキュリティ記述子文字列内の各 ACE は、かっこで囲まれています。 ACE のフィールドは次の順序で、セミコロン (;) で区切られます。

AceType**;AceFlags;Rights;ObjectGuid;InheritObjectGuid;AccountSid;(ConditionalExpression)**

フィールドは ACE 文字列 で説明されているように、次の例外があります。

• AceType フィールドには、次のいずれかの文字列を指定できます。

  ACE 型の文字列	Sddl.h の定数	AceType 値
  "XA"	SDDL_CALLBACK_ACCESS_ALLOWED	ACCESS_ALLOWED_CALLBACK_ACE_TYPE
  "XD"	SDDL_CALLBACK_ACCESS_DENIED	ACCESS_DENIED_CALLBACK_ACE_TYPE

• ACE 文字列には、文字列の末尾にかっこで囲まれた 1 つ以上の条件式が含まれます。

条件式

条件式には、次のいずれかの要素を含めることができます。

属性

属性は、クライアント コンテキストの AUTHZ_SECURITY_ATTRIBUTES_INFORMATION 配列内の要素を表します。 属性名には、任意の英数字と以下の任意の文字 ":"、"/"、"."、および "_" を含めることができます。

属性値には、次のいずれかの型を指定できます。

演算子

次の演算子は、条件式で属性の値をテストするために使用するために定義されています。 これらはすべて二項演算子であり、AttributeName Operator Value の形式で使用されます。

さらに、単項演算子 Exists、Member_of、および否定 (!) は、条件式の表で説明されているように定義されます。

"Contains" 演算子の前と後に空白を付け、"Any_of" 演算子の前に空白を付ける必要があります。

演算子の優先順位

演算子は次の優先順位で評価され、等しい優先順位の演算が左から右に評価されます。

1. Exists、Member_of
2. Contains、Any_of
3. ==, !=, <, <=, >, >=
4. !
5. &&
6. ||

さらに、条件式の任意の部分をかっこで囲むことができます。 かっこ内の式は最初に評価されます。

不明な値

条件式の結果は、Unknown の値を返すことがあります。 たとえば、指定した属性が存在しない場合、リレーショナル操作は Unknown を返します。

次の表では、ConditionalExpression1 と ConditionalExpression2 という 2 つの条件式の間の論理 AND 演算の結果について説明します。

次の表では、ConditionalExpression1 と ConditionalExpression2 という 2 つの条件式の間の論理 OR 演算の結果について説明します。

値が UNKNOWN の条件式の否定も UNKNOWN です。

条件付き ACE 評価

次の表では、条件式の最終的な評価に応じて、条件付き ACE のアクセスチェック結果について説明します。

例

次の例は、SDDL を使用して定義された条件付き ACE によって、指定されたアクセス ポリシーがどのように表されるかを示しています。

ポリシー

次の両方の条件が満たされている場合は、すべてのユーザーに対して実行を許可します:

• Title = PM
• Division = 財務 または Division = 営業

SDDL

D:(XA; ;FX;;;S-1-1-0; (@User.Title=="PM" && (@User.Division=="財務" || @User.Division ==" 営業")))

ポリシー

ユーザーのプロジェクトのいずれかがファイルのプロジェクトと交差する場合は、実行を許可します。

SDDL

D:(XA; ;FX;;;S-1-1-0; (@User.Project Any_of @Resource.Project))

ポリシー

ユーザーがスマート カードでログインし、バックアップ オペレーターであり、Bitlocker が有効になっているコンピューターから接続している場合は、読み取りアクセスを許可します。

SDDL

D:(XA; ;FR;;;S-1-1-0; (Member_of {SID(Smartcard_SID), SID(BO)} && @Device.Bitlocker))

関連トピック

[MS-DTYP]: セキュリティ記述子の説明言語