Хорошо известные идентификаторы безопасности в операционных системах Windows

Идентификатор безопасности (SID) представляет собой уникальное значение переменной длины, используемое в операционных системах Windows для идентификации участника безопасности или группы безопасности. Под хорошо известными идентификаторами SID понимаются группы SID, идентифицирующие общих пользователей или общие группы. Их значения остаются постоянными во всех операционных системах.

Эта информация полезна при устранении неполадок, связанных с безопасностью. Кроме того, она полезна в случае возможных неполадок отображения, которые можно увидеть в редакторе ACL. В редакторе ACL вместо имени пользователя или группы может отображаться идентификатор SID.

Хорошо известные идентификаторы SID:
SID: S-1-0
Название: Пустой администратор
Описание: Защитный код.
SID: S-1-0-0
Название: Никто
Описание: Нет участника безопасности.
SID: S-1-1
Название: Международный администратор
Описание: Администратор идентификатора.
SID: S-1-1-0
Название: Все
Описание: Группа, в которую входят все пользователи, даже анонимные пользователи и гости. Принадлежность контролируется операционной системой.

Примечание. По умолчанию в группу «Все» более не входят анонимные пользователи на компьютере, работающем под управлением Windows XP с пакетом обновления 2 (SP2).
SID: S-1-2
Название: Местный администратор
Описание: Администратор идентификатора.
SID: S-1-3
Название: Администратор-создатель
Описание: Администратор идентификатора.
SID: S-1-3-0
Название: Создатель-владелец
Описание: Замещающий элемент в наследуемой записи управления доступом (ACE). При наследовании ACE система замещает этот SID идентификатором SID создателя объекта.
SID: S-1-3-1
Название: Группа-создатель
Описание: Замещающий элемент в наследуемой записи управления доступом (ACE). При наследовании ACE система замещает этот SID идентификатором SID основной группы создателя объекта. Основная группа используется только подсистемой POSIX.
SID: S-1-3-2
Название: Создатель-владелец сервер
Описание: Этот SID не используется в операционной системе Windows 2000.
SID: S-1-3-3
Название: Группа-создатель сервер
Описание: Этот SID не используется в операционной системе Windows 2000.
SID: S-1-4
Название: Неуникальный администратор
Описание: Администратор идентификатора.
SID: S-1-5
Название: Администратор NT
Описание: Администратор идентификатора.
SID: S-1-5-1
Название: Удаленный доступ
Описание: Группа, в которую входят все пользователи, вошедшие в систему с использованием удаленного доступа. Принадлежность контролируется операционной системой.
SID: S-1-5-2
Название: Сеть
Описание: Группа, в которую входят все пользователи, вошедшие в систему с использованием сетевого подключения. Принадлежность контролируется операционной системой.
SID: S-1-5-3
Название: Партия
Описание: Группа, в которую входят все пользователи, вошедшие в систему с использованием средства пакетной очереди. Принадлежность контролируется операционной системой.
SID: S-1-5-4
Название: Интерактивные
Описание: Группа, в которую входят все пользователи, вошедшие в систему с использованием интерактивного входа. Принадлежность контролируется операционной системой.
SID: S-1-5-5-X-Y
Название: Сеанс входа в систему
Описание: Сеанс входа в систему. Значения X и Y для этих идентификаторов SID меняются в каждом сеансе.
SID: S-1-5-6
Название: Служба
Описание: Группа, в которую входят все участники безопасности, вошедшие в систему в качестве службы. Принадлежность контролируется операционной системой.
SID: S-1-5-7
Название: Анонимный
Описание: Группа, в которую входят все пользователи, вошедшие в систему анонимно. Принадлежность контролируется операционной системой.
SID: S-1-5-8
Название: Прокси
Описание: Этот SID не используется в операционной системе Windows 2000.
SID: S-1-5-9
Название: Контроллеры домена предприятия
Описание: В эту группу входят все контроллеры доменов в лесу, в котором используется служба каталога Active Directory. Принадлежность контролируется операционной системой.
SID: S-1-5-10
Название: Self участника
Описание: Замещающий элемент в наследуемом элементе управления доступом (ACE) на объекте учетной записи или объекте группы в Active Directory. При наследовании ACE система замещает этот SID идентификатором SID участника безопасности, владеющего данной учетной записью.
SID: S-1-5-11
Название: Прошедшие проверку
Описание: Группа, в которую входят все пользователи, идентификаторы которых были проверены при входе в систему. Принадлежность контролируется операционной системой.
SID: S-1-5-12
Название: Запрещенный код
Описание: Данный SID зарезервирован для использования в будущем.
SID: S-1-5-13
Название: Пользователи сервера терминалов
Описание: В эту группу входят все пользователи, вошедшие в систему сервера служб терминалов. Принадлежность контролируется операционной системой.
SID: S-1-5-18
Название: Локальная система
Описание: Учетная запись службы, используемая операционной системой.
SID: S-1-5-19
Название: Администратор NT
Описание: Локальная служба
SID: S-1-5-20
Название: Администратор NT
Описание: Сетевая служба
SID: S-1-5-домен-500
Название: Администратор
Описание: Учетная запись администратора системы. По умолчанию только эта запись обеспечивает полный контроль системы.
SID: S-1-5-домен-501
Название: Гость
Описание: Учетная запись для лиц, не имеющих индивидуальной учетной записи. Для данной учетной записи пароль не требуется. По умолчанию учетная запись «Гость» отключена.
SID: S-1-5-домен-502
Название: KRBTGT
Описание: Учетная запись, используемая службой «Центр распространения ключей» (KDC).
SID: S-1-5-домен-512
Название: Администраторы домена
Описание: Глобальная группа, членам которой разрешено управлять доменом. По умолчанию группа «Администраторы домена» является членом группы «Администраторы» на всех компьютерах, входящих в домен, включая контроллеры доменов. Группа «Администраторы домена» по умолчанию является владельцем любого объекта, созданного любым членом группы.
SID: S-1-5-домен-513
Название: Пользователи домена
Описание: Глобальная группа, в которую по умолчанию входят все учетные записи домена. При создании учетной записи в домене она по умолчанию добавляется в эту группу.
SID: S-1-5-домен-514
Название: Гости домена
Описание: Глобальная группа, в которую по умолчанию входит только один член — встроенная учетная запись гостя, соответствующая данному домену.
SID: S-1-5-домен-515
Название: Компьютеры домена
Описание: Глобальная группа, в которую входят все клиенты и серверы, входящие в домен.
SID: S-1-5-домен-516
Название: Контроллеры домена
Описание: Глобальная группа, в которую входят все контроллеры данного домена. По умолчанию новые контроллеры домена добавляются в эту группу.
SID: S-1-5-домен-517
Название: Издатели сертификатов
Описание: Глобальная группа, в которую входят все компьютеры, на которых работает центр сертификации предприятия. Издателям сертификатов разрешено публиковать сертификаты для объектов пользователей в Active Directory.
SID: S-1-5-корневой домен-518
Название: Администраторы схемы
Описание: Универсальная группа в домене с основным режимом; глобальная группа в домене со смешанным режимом. Данной группе разрешено вносить изменения в схему в Active Directory. По умолчанию единственным членом группы является учетная запись «Администратор» для корневого домена леса.
SID: S-1-5-корневой домен-519
Название: Администраторы предприятия
Описание: Универсальная группа в домене с основным режимом; глобальная группа в домене со смешанным режимом. Данной группе разрешено вносить изменения на уровне леса в Active Directory, например добавлять дочерний домен. По умолчанию единственным членом группы является учетная запись «Администратор» для корневого домена леса.
SID: S-1-5-домен-520
Название: Владельцы-создатели групповой политики
Описание: Глобальная группа, которой разрешено создавать новые объекты групповой политики в Active Directory. По умолчанию единственным членом группы является «Администратор».
SID: S-1-5-домен-533
Название: Серверы RAS и IAS
Описание: Локальная группа домена. По умолчанию в этой группе нет членов. Серверы этой группы имеют ограничения на чтение учетных записей и доступ к чтению информации о входе в систему для объектов «Пользователь» в локальной группе домена Active Directory. По умолчанию в этой группе нет членов. Серверы этой группы имеют ограничения на чтение учетных записей и доступ к чтению информации о входе в систему для объектов «Пользователь» в Active Directory.
SID: S-1-5-32-544
Название: Администраторы
Описание: Встроенная группа. После первоначальной установки операционной системы единственным членом этой группы является учетная запись «Администратор». Когда компьютер присоединяется к домену, группа «Администраторы домена» добавляется к группе «Администраторы». Когда сервер становится контроллером домена, группа «Администраторы предприятия» также добавляется к группе «Администраторы».
SID: S-1-5-32-545
Название: Пользователи
Описание: Встроенная группа. После первоначальной установки операционной системы единственным членом этой группы является группа «Прошедшие проверку». Когда компьютер присоединяется к домену, группа «Пользователи домена» добавляется к группе «Пользователи» на этом компьютере.
SID: S-1-5-32-546
Название: Гости
Описание: Встроенная группа. По умолчанию единственным членом группы является учетная запись «Гость». Группа «Гости» предоставляет возможность периодическим или однократным пользователям входить в систему с ограниченными правами встроенной в компьютер учетной записи «Гость».
SID: S-1-5-32-547
Название: Опытные пользователи
Описание: Встроенная группа. По умолчанию в этой группе нет членов. Членам группы «Опытные пользователи» разрешено создавать локальных пользователей и группы; изменять и удалять созданные ими учетные записи; удалять пользователей из групп «Опытные пользователи», «Пользователи» и «Гости». Также членам группы «Опытные пользователи» разрешается устанавливать программы; создавать, удалять локальные принтеры и управлять ими; создавать и удалять общие файловые ресурсы.
SID: S-1-5-32-548
Название: Операторы учета
Описание: Встроенная группа, существующая только на контроллерах доменов. По умолчанию в этой группе нет членов. По умолчанию членам группы «Операторы учетных записей» разрешено создавать, изменять и удалять учетные записи пользователей, групп и компьютеров во всех контейнерах и подразделениях Active Directory, за исключением контейнера Builtin и подразделения «Контроллеры домена». Членам группы «Операторы учета» не разрешено ни вносить изменения в группы «Администраторы» и «Администраторы домена», ни изменять учетные записи членов этих групп.
SID: S-1-5-32-549
Название: Операторы сервера
Описание: Встроенная группа, существующая только на контроллерах доменов. По умолчанию в этой группе нет членов. Членам группы «Операторы сервера» разрешается входить на сервер в интерактивном режиме; создавать и удалять общие сетевые ресурсы; запускать и останавливать службы; делать резервные копии файлов и восстанавливать их; форматировать жесткий диск компьютера; завершать работу компьютера.
SID: S-1-5-32-550
Название: Операторы печати
Описание: Встроенная группа, существующая только на контроллерах доменов. По умолчанию единственным членом является группа «Пользователи домена». Членам группы «Операторы печати» разрешено управлять принтерами и очередями документов.
SID: S-1-5-32-551
Название: Операторы архива
Описание: Встроенная группа. По умолчанию в этой группе нет членов. Членам группы «Операторы архива» разрешено делать резервные копии всех файлов на компьютере и восстанавливать их независимо от разрешений, защищающих эти файлы. Также членам группы «Операторы архива» разрешается входить в систему и завершать работу компьютера.
SID: S-1-5-32-552
Название: Репликаторы
Описание: Встроенная группа, использующаяся службой репликации файлов на контроллерах доменов. По умолчанию в этой группе нет членов. Запрещается добавлять пользователей в эту группу.
Следующие группы отображаются в качестве идентификаторов SID до тех пор, пока контроллер домена Windows Server 2003 не будет сделан владельцем роли хозяина операций основного контроллера домена (PDC). (Роль «Хозяин операций» называют также ролью FSMO (Flexible Single Master Operations)). К дополнительным новым встроенные группам, созданным при добавлении к домену контроллера домена Windows Server, относятся следующие:
SID: S-1-5-32-554
Название: BUILTIN\Пред-Windows 2000 доступ
Описание: Псевдоним, добавленный операционной системой Windows 2000. Группа обратной совместимости, предоставляющая право чтения информации обо всех пользователях и группах домена.
SID: S-1-5-32-555
Название: BUILTIN\Пользователи удаленного рабочего стола
Описание: Псевдоним. Членам этой группы обеспечивается право входа в систему в удаленном режиме.
SID: S-1-5-32-556
Название: BUILTIN\Операторы настройки сети
Описание: Псевдоним. Члены этой группы могут иметь некоторые привилегии администратора для управления настройкой возможностей работы в сети.
SID: S-1-5-32-557
Название: BUILTIN\Построители доверия входящих лесов
Описание: Псевдоним. Членам этой группы разрешается создавать входящие доверительные отношения в этом лесу.
SID: S-1-5-32-557
Название: BUILTIN\Построители доверия входящих лесов
Описание: Псевдоним. Членам этой группы разрешается создавать входящие односторонние доверительные отношения в этом лесу.
SID: S-1-5-32-558
Название: BUILTIN\Пользователи системного монитора
Описание: Псевдоним. У членов этой группы имеется удаленный доступ к монитору данного компьютера.
SID: S-1-5-32-559
Название: BUILTIN\Пользователи журналов производительности
Описание: Псевдоним. У членов этой группы имеется удаленный доступ к планированию регистрации в журналах данных счетчиков производительности на этом компьютере.
SID: S-1-5-32-560
Название: BUILTIN\Группа авторизации доступа Windows
Описание: Псевдоним. У членов этой группы имеется доступ к вычисленному атрибуту tokenGroupsGlobalAndUniversal на объектах «Пользователь».
SID: S-1-5-32-561
Название: BUILTIN\Серверы лицензирования серверов терминалов
Описание: Псевдоним. Группа для серверов лицензирования серверов терминалов.

--------------------------------------------------------------------------------

Информация в данной статье относится к следующим продуктам.
Microsoft Windows Server 2003, Standard Edition (32-bit x86)
Microsoft Windows Server 2003, Enterprise Edition (32-bit x86)
Microsoft Windows Server 2003, Datacenter Edition (32-bit x86)
Microsoft Windows XP Professional
операционная система Microsoft Windows 2000 Server
Microsoft Windows 2000 Advanced Server
Microsoft Windows 2000 Datacenter Server
Операционная система Microsoft Windows 2000 Professional

http://support.microsoft.com/kb/243330