Функция LsaLogonUser (ntsecapi.h)

Функция LsaLogonUser проверяет подлинность данных для входа субъекта безопасности с помощью сохраненных учетных данных.

Если проверка подлинности прошла успешно, эта функция создает новый сеанс входа и возвращает маркер пользователя.

При получении нового билета на предоставление билета (TGT) с использованием новых учетных данных сертификата очищаются все системные TGT и служебные билеты. Все запросы на обслуживание пользователей, имеющие составную идентификацию, также очищаются.

Синтаксис

NTSTATUS LsaLogonUser(
  [in]           HANDLE              LsaHandle,
  [in]           PLSA_STRING         OriginName,
  [in]           SECURITY_LOGON_TYPE LogonType,
  [in]           ULONG               AuthenticationPackage,
  [in]           PVOID               AuthenticationInformation,
  [in]           ULONG               AuthenticationInformationLength,
  [in, optional] PTOKEN_GROUPS       LocalGroups,
  [in]           PTOKEN_SOURCE       SourceContext,
  [out]          PVOID               *ProfileBuffer,
  [out]          PULONG              ProfileBufferLength,
  [out]          PLUID               LogonId,
  [out]          PHANDLE             Token,
  [out]          PQUOTA_LIMITS       Quotas,
  [out]          PNTSTATUS           SubStatus
);

Параметры

[in] LsaHandle

Дескриптор, полученный при предыдущем вызове LsaRegisterLogonProcess.

Вызывающий объект должен иметь SeTcbPrivilege только в том случае, если выполняется одно или несколько из следующих значений:

• Используется пакет вложенной проверки подлинности.
• KERB_S4U_LOGON используется, и вызывающий объект запрашивает маркер олицетворения.
• Параметр LocalGroups не имеет значения NULL.

[in] OriginName

Строка, определяющая источник попытки входа. Дополнительные сведения см. в подразделе "Примечания".

[in] LogonType

Значение перечисления SECURITY_LOGON_TYPE , указывающее тип запрошенного входа. Если LogonType имеет значение Interactive или Batch, создается основной маркер для представления нового пользователя. Если LogonType имеет значение Network, создается токен олицетворения.

[in] AuthenticationPackage

Идентификатор пакета проверки подлинности, используемый для проверки подлинности. Это значение можно получить, вызвав LsaLookupAuthenticationPackage.

[in] AuthenticationInformation

Указатель на входной буфер, содержащий сведения для проверки подлинности, такие как имя пользователя и пароль. Формат и содержимое этого буфера определяются пакетом проверки подлинности.

Этот параметр может быть одной из следующих структур входных буферов для пакетов проверки подлинности MSV1_0 и Kerberos.

Дополнительные сведения о буфере, используемом другими пакетами проверки подлинности, см. в документации по этим пакетам проверки подлинности.

[in] AuthenticationInformationLength

Длина буфера AuthenticationInformation в байтах.

[in, optional] LocalGroups

Список дополнительных идентификаторов групп для добавления в токен пользователя, прошедшего проверку подлинности. Эти идентификаторы групп будут добавлены вместе с группой по умолчанию WORLD и группой типа входа (Interactive, Batch или Network), которые автоматически включаются в каждый маркер пользователя.

[in] SourceContext

Структура TOKEN_SOURCE , которая определяет исходный модуль, например диспетчер сеансов, и контекст, который может быть полезен для этого модуля. Эти сведения включаются в маркер пользователя и могут быть получены путем вызова GetTokenInformation.

[out] ProfileBuffer

Указатель на указатель void, который получает адрес выходного буфера, содержащего сведения для проверки подлинности, такие как оболочка входа и домашний каталог.

Этот параметр может быть одной из следующих структур буфера вывода для пакетов проверки подлинности MSV1_0 и Kerberos.

Дополнительные сведения о буфере, используемом другими пакетами проверки подлинности, см. в документации по пакету проверки подлинности.

Если этот буфер больше не нужен, вызывающее приложение должно освободить его, вызвав функцию LsaFreeReturnBuffer .

[out] ProfileBufferLength

Указатель на ULONG , получающий длину возвращаемого буфера профиля в байтах.

[out] LogonId

Указатель на буфер, получающий LUID , который однозначно идентифицирует сеанс входа. Этот LUID назначается контроллером домена, который прошел проверку подлинности сведений о входе в систему.

[out] Token

Указатель на дескриптор, который получает новый маркер пользователя, созданный для этого сеанса. Завершив использование маркера, отпустите его, вызвав функцию CloseHandle .

[out] Quotas

При возвращении основного маркера этот параметр получает структуру QUOTA_LIMITS , которая содержит ограничения квоты процесса, назначенные только что вошедшим в систему начальным процессом пользователя.

[out] SubStatus

Если не удалось выполнить вход из-за ограничений учетной записи, этот параметр получает сведения о причине сбоя входа. Это значение задается только в том случае, если данные учетной записи пользователя действительны и вход отклонен.

Этот параметр может быть одним из следующих значений SubStatus для пакета проверки подлинности MSV1_0.

Возвращаемое значение

Если функция завершается успешно, функция возвращает STATUS_SUCCESS.

Если функция завершается сбоем, она возвращает код NTSTATUS , который может иметь одно из следующих значений.

Дополнительные сведения см. в разделе Возвращаемые значения функции политики LSA.

Функция LsaNtStatusToWinError преобразует код NTSTATUS в код ошибки Windows.

Комментарии

Параметр OriginName должен указывать значимые сведения. Например, он может содержать "TTY1" для обозначения терминала один или "NTLM - удаленный узел JAZZ", чтобы указать сетевой вход, использующий NTLM через удаленный узел с именем "JAZZ".

Необходимо вызвать LsaLogonUser отдельно, чтобы обновить учетные данные устройства PKINIT для LOCAL_SYSTEM и NETWORK_SERVICE. Если учетные данные устройства PKINIT отсутствуют, успешный вызов не выполняет никаких операций. При наличии учетных данных устройства PKINIT успешный вызов очищает учетные данные устройства PKINIT, чтобы осталось только учетные данные пароля.

Требования

См. также раздел

Разрешение анонимного доступа

LsaCallAuthenticationPackage

LsaFreeReturnBuffer

LsaLookupAuthenticationPackage