Windows 操作系統中的常見安全標識符(KB243330)

原文：http://support.microsoft.com/kb/243330

概要：安全標識符 (SID) 是長度可變的唯一值，用來標識 Windows 操作系統中的安全主體或安全組。常見 SID 是標識一般用戶或一般組的一組 SID。它們的值在所有操作系統中都相同。

此信息可用於解決安全方面的問題，還可用於解決 ACL 編輯器中可能出現的潛在顯示問題。在 ACL 編輯器中，可能顯示 SID 而不是用戶或組名。

常見 SID：

· SID：S-1-0
名稱：Null Authority
描述：標識符頒發機構。

· SID：S-1-0-0
名稱：Nobody
描述：無安全主體。

· SID：S-1-1
名稱：World Authority
描述：標識符頒發機構。

· SID：S-1-1-0
名稱：Everyone
描述：包括所有用戶（甚至匿名用戶和來賓）的組。成員身份由操作系統控制。

注意：默認情況下，在運行 Windows XP Service Pack 2 (SP2) 的計算機上，Everyone 組不再包括匿名用戶。

· SID：S-1-2
名稱：Local Authority
描述：標識符頒發機構。

· SID：S-1-2-0
名稱：Local
描述：一個包括所有以本地方式登錄的用戶的組。

· SID：S-1-2-1
名稱：Console Logon
描述：一個包括登錄到物理控制檯的用戶的組。

注意在 Windows 7 和 Windows Server 2008 R2 中已添加

· SID：S-1-3
名稱：Creator Authority
描述：標識符頒發機構。

· SID：S-1-3-0
名稱：Creator Owner
描述：可繼承訪問控制項 (ACE) 中的佔位符。當 ACE 被繼承時，系統用對象創建者的 SID 替換此 SID。

· SID：S-1-3-1
名稱：Creator Group
描述：可繼承 ACE 中的佔位符。當 ACE 被繼承時，系統用對象創建者的主要組的 SID 替換此 SID。主要組僅供 POSIX 子系統使用。

· SID：S-1-3-2
名稱：Creator Owner Server
描述：Windows 2000 中不使用此 SID。

· SID：S-1-3-3
名稱：Creator Group Server
描述：Windows 2000 中不使用此 SID。

· SID：S-1-3-4 名稱：Owner Rights
描述：代表對象的當前所有者的組。當包含此 SID 的 ACE 應用到某對象時，系統將忽視對象所有者的隱式的 READ_CONTROL 和 WRITE_DAC 權限。

注意在 Windows Vista 和 Windows Server 2008 中已添加

· SID：S-1-4
名稱：Non-unique Authority
描述：標識符頒發機構。

· SID：S-1-5
名稱：NT Authority
描述：標識符頒發機構。

· SID：S-1-5-1
名稱：Dialup
描述：一個包括所有通過撥號連接登錄的用戶的組。成員身份由操作系統控制。

· SID：S-1-5-2
名稱：Network
描述：一個包括所有通過網絡連接登錄的用戶的組。成員身份由操作系統控制。

· SID：S-1-5-3
名稱：Batch
描述：一個包括所有通過批隊列功能登錄的用戶的組。成員身份由操作系統控制。

· SID：S-1-5-4
名稱：Interactive
描述：一個包括所有以交互方式登錄的用戶的組。成員身份由操作系統控制。

· SID：S-1-5-5-X-Y
名稱：Logon Session
描述：登錄會話。這些 SID 的 X 和 Y 值因會話而異。

· SID：S-1-5-6
名稱：Service
描述：一個包括所有作爲服務登錄的安全主體的組。成員身份由操作系統控制。

· SID：S-1-5-7
名稱：Anonymous
描述：一個包括所有以匿名方式登錄的用戶的組。成員身份由操作系統控制。

· SID：S-1-5-8
名稱：Proxy
描述：Windows 2000 中不使用此 SID。

· SID：S-1-5-9
名稱：Enterprise Domain Controllers
描述：一個由使用 Active Directory 目錄服務的林中的所有域控制器組成的組。成員身份由操作系統控制。

· SID：S-1-5-10
名稱：Principal Self
描述：Active Directory 中的帳戶對象或組對象上可繼承 ACE 中的一個佔位符。當 ACE 被繼承時，系統用持有此帳戶的安全主體的 SID 替換此 SID。

· SID：S-1-5-11
名稱：Authenticated Users
描述：一個包括所有登錄時已經過身份驗證的用戶的組。成員身份由操作系統控制。

· SID：S-1-5-12
名稱：Restricted Code
描述：此 SID 保留供以後使用。

· SID：S-1-5-13
名稱：Terminal Server Users
描述：一個包括所有登錄到終端服務服務器的用戶的組。成員身份由操作系統控制。

· SID：S-1-5-14
名稱：Remote Interactive Logon
描述：一個包括所有以終端服務登錄方式登錄的用戶的組。

· SID：S-1-5-15
名稱：This Organization
描述：一個包括相同組織的所有用戶的組。只附帶於 AD 帳戶並且只通過 Windows Server 2003 或更高版本的域控制器添加。

· SID：S-1-5-17
名稱：This Organization
描述：一個由默認 Internet Information Services (IIS) 用戶使用的帳戶。

· SID：S-1-5-18
名稱：Local System
描述：操作系統使用的服務帳戶。

· SID：S-1-5-19
名稱：NT Authority
描述：本地服務

· SID：S-1-5-20
名稱：NT Authority
描述：網絡服務

· SID：S-1-5-21domain-500
名稱：Administrator
描述：系統管理員的用戶帳戶。默認情況下，它是唯一能夠完全控制系統的用戶帳戶。

· SID：S-1-5-21domain-501
名稱：Guest
描述：無個人帳戶的人員的用戶帳戶。此用戶帳戶不需要密碼。默認情況下，Guest 帳戶被禁用。

· SID：S-1-5-21domain-502
名稱：KRBTGT
描述：密鑰分發中心 (KDC) 服務使用的服務帳戶。

· SID：S-1-5-21domain-512
名稱：Domain Admins
描述：一個全局組，其成員被授權管理該域。默認情況下，Domain Admins 組屬於所有加入域的計算機（包括域控制器）上的 Administrators 組。Domain Admins 是該組的任何成員創建的任何對象的默認所有者。

· SID：S-1-5-21domain-513
名稱：Domain Users
描述：一個全局組，默認情況下它包括域中的所有用戶帳戶。在域中創建用戶帳戶時，默認情況下，帳戶將添加到該組中。

· SID：S-1-5-21domain-514
名稱：Domain Guests
描述：一個全局組，默認情況下它只有一個成員，即域的內置 Guest 帳戶。

· SID：S-1-5-21domain-515
名稱：Domain Computers
描述：一個包括加入域的所有客戶端和服務器的全局組。

· SID：S-1-5-21domain-516
名稱：Domain Controllers
描述：一個包括域中所有域控制器的全局組。默認情況下，新的域控制器將添加到該組中。

· SID：S-1-5-21domain-517
名稱：Cert Publishers
描述：一個包括所有運行企業證書頒發機構的計算機的全局組。Cert Publishers 被授權爲 Active Directory 中的 User 對象發佈證書。

· SID：S-1-5-21root domain-518
名稱：Schema Admins
描述：純模式域中的通用組；混合模式域中的全局組。該組被授權在 Active Directory 中更改架構。默認情況下，該組的唯一成員是林根域的 Administrator 帳戶。

· SID：S-1-5-21root domain-519
名稱：Enterprise Admins
描述：純模式域中的通用組；混合模式域中的全局組。該組被授權在 Active Directory 中進行目錄林範圍的更改，例如添加子域。默認情況下，該組的唯一成員是林根域的 Administrator 帳戶。

· SID：S-1-5-21domain-520
名稱：Group Policy Creator Owners
描述：一個被授權在 Active Directory 中新建組策略對象的全局組。默認情況下，該組的唯一成員是 Administrator。

· SID：S-1-5-21domain-553
名稱：RAS and IAS Servers
描述：域本地組。默認情況下，該組沒有成員。該組中的服務器對 Active Directory 域本地組中的 User 對象具有“讀取帳戶限制”和“讀取登錄信息”訪問權限。

· SID：S-1-5-32-544
名稱：Administrators
描述：內置組。初次安裝操作系統後，該組的唯一成員是 Administrator 帳戶。當計算機加入域時，Domain Admins 組將被添加到 Administrators 組中。當服務器成爲域控制器時，Enterprise Admins 組也被添加到 Administrators 組中。

· SID：S-1-5-32-545
名稱：Users
描述：內置組。初次安裝操作系統後，該組的唯一成員是 Authenticated Users 組。當計算機加入域時，Domain Users 組將被添加到計算機上的 Users 組中。

· SID：S-1-5-32-546
名稱：Guests
描述：內置組。默認情況下，該組的唯一成員是 Guest 帳戶。Guests 組允許臨時或一次性用戶使用有限權限登錄到計算機的內置 Guest 帳戶。

· SID：S-1-5-32-547
名稱：Power Users
描述：內置組。默認情況下，該組沒有成員。Power Users 可以創建本地用戶和組，修改和刪除以前創建的帳戶，刪除 Power Users、Users 和 Guests 組中的用戶。Power Users 還可以安裝程序，創建、管理和刪除本地打印機以及創建和刪除文件共享。

· SID：S-1-5-32-548
名稱：Account Operators
描述：一種只存在於域控制器上的內置組。默認情況下，該組沒有成員。默認情況下，Account Operators 有權爲 Active Directory 的所有容器和組織單位中的用戶、組和計算機創建、修改和刪除帳戶，Builtin 容器和 Domain Controllers OU 除外。Account Operators 無權修改 Administrators 和 Domain Admins 組，也無權爲那些組的成員修改帳戶。

· SID：S-1-5-32-549
名稱：Server Operators
描述：一種只存在於域控制器上的內置組。默認情況下，該組沒有成員。Server Operators 可以以交互方式登錄到服務器，創建和刪除網絡共享，啓動和停止服務，備份和還原文件，格式化計算機的硬盤以及關閉計算機。

· SID：S-1-5-32-550
名稱：Print Operators
描述：一種只存在於域控制器上的內置組。默認情況下，該組的唯一成員是 Domain Users 組。Print Operators 可以管理打印機和文檔隊列。

· SID：S-1-5-32-551
名稱：Backup Operators
描述：內置組。默認情況下，該組沒有成員。Backup Operators 可以備份和還原計算機上的所有文件，無論那些文件受哪些權限保護均如此。Backup Operators 也可以登錄和關閉計算機。

· SID：S-1-5-32-552
名稱：Replicators
描述：一個由域控制器上的文件複製服務使用的內置組。默認情況下，該組沒有成員。不要向該組中添加用戶。

· SID：S-1-5-64-10
名稱：NTLM Authentication
描述：當 NTLM 身份驗證包對客戶端進行身份驗證時使用的 SID

· SID：S-1-5-64-14
名稱：SChannel Authentication
描述：當 SChannel 身份驗證包對客戶端進行身份驗證時使用的 SID

· SID：S-1-5-64-21
名稱：Digest Authentication
描述：當 Digest 身份驗證包對客戶端進行身份驗證時使用的 SID

· SID：S-1-5-80
名稱：NT Service
描述：NT 服務帳戶前綴

· SID：S-1-16-0
名稱：Untrusted Mandatory Level
描述：一個不受信任的完整性級別。注意在 Windows Vista 和 Windows Server 2008 中已添加

注意在 Windows Vista 和 Windows Server 2008 中已添加

· SID：S-1-16-4096
名稱：Low Mandatory Level
描述：較低的完整性級別。

注意在 Windows Vista 和 Windows Server 2008 中已添加

· SID：S-1-16-8192
名稱：Medium Mandatory Level
描述：中級完整性級別。

注意在 Windows Vista 和 Windows Server 2008 中已添加

· SID：S-1-16-8448
名稱：Medium Plus Mandatory Level
描述：中高級完整性級別。

注意在 Windows Vista 和 Windows Server 2008 中已添加

· SID：S-1-16-12288
名稱：High Mandatory Level
描述：高級完整性級別。

注意在 Windows Vista 和 Windows Server 2008 中已添加

· SID：S-1-16-16384
名稱：System Mandatory Level
描述：系統完整性級別。

注意在 Windows Vista 和 Windows Server 2008 中已添加

· SID：S-1-16-20480
名稱：Protected Process Mandatory Level
描述：受保護進程的完整性級別。

注意在 Windows Vista 和 Windows Server 2008 中已添加

· SID：S-1-16-28672
名稱：Secure Process Mandatory Level
描述：安全進程完整性級別。

注意在 Windows Vista 和 Windows Server 2008 中已添加

下列各組在某臺 Windows Server 2003 域控制器被指定擔任主域控制器 (PDC) 操作主機角色之前，將一直顯示爲 SID。（“操作主機”也稱作靈活的單主機操作或 FSMO。）在將 Windows Server 2003 域控制器添加到域中時，新建的其他內置組有：

· SID：S-1-5-32-554
名稱：BUILTIN\Pre-Windows 2000 Compatible Access
描述：Windows 2000 添加的別名。一個允許對域中的所有用戶和組進行讀訪問的向後兼容組。

· SID：S-1-5-32-555
名稱：BUILTIN\Remote Desktop Users
描述：一個別名。該組的成員被授予遠程登錄權限。

· SID：S-1-5-32-556
名稱：BUILTIN\Network Configuration Operators
描述：一個別名。該組的成員擁有管理網絡功能配置的部分權限。

· SID：S-1-5-32-557
名稱：BUILTIN\Incoming Forest Trust Builders
描述：一個別名。該組的成員可以創建到該林的傳入的單向信任。

· SID：S-1-5-32-558
名稱：BUILTIN\Performance Monitor Users
描述：一個別名。該組的成員可以進行遠程訪問以監視此計算機。

· SID：S-1-5-32-559
名稱：BUILTIN\Performance Log Users
描述：一個別名。該組的成員可以進行遠程訪問，以便預定此計算機上性能計數器的日誌。

· SID：S-1-5-32-560
名稱：BUILTIN\Windows Authorization Access Group
描述：一個別名。該組的成員可以訪問 User 對象上的計算的 tokenGroupsGlobalAndUniversal 屬性。

· SID：S-1-5-32-561
名稱：BUILTIN\Terminal Server License Servers
描述：一個別名。終端服務器許可證服務器組。安裝 Windows Server 2003 Service Pack 1 時，將創建新的本地組。

· SID：S-1-5-32-562
名稱：BUILTIN\Distributed COM Users
描述：一個別名。COM 使用這個組提供計算機範圍的訪問控制，以管理對計算機上所有調用、激活、發起請求的訪問。

下列組在某個 Windows Server 2008 或 Windows Server 2008 R2 域控制器被指定擔任主域控制器 (PDC) 操作主機角色之前，將一直顯示爲 SID。（“操作主機”也稱作靈活的單主機操作或 FSMO。）在將 Windows Server 2008 或 Windows Server 2008 R2 域控制器添加到域時，新建的其他內置組有：

· SID：S-1-5- 21domain -498
名稱：Enterprise Read-only Domain Controllers
描述：一個通用組。該組中的成員都是企業的只讀域控制器

· SID：S-1-5- 21domain -521
名稱：Read-only Domain Controllers
描述：一個全局組。該組中的成員都是域中的只讀域控制器

· SID：S-1-5-32-569
名稱：BUILTIN\Cryptographic Operator
描述：一個內置本地組。成員都被授予了執行加密操作的權限。

· SID：S-1-5-21 domain -571
名稱：Allowed RODC Password Replication Group
描述：域本地組。該組中的成員可以將他們的密碼複製到域中所有的只讀域控制器。

· SID：S-1-5- 21domain -572
名稱：Denied RODC Password Replication Group
描述：域本地組。該組中的成員不能將他們的密碼複製到域中任何只讀域控制器。

· SID：S-1-5-32-573
名稱：BUILTIN\Event Log Reader
描述：內置本地組。該組中的成員可以從本地計算機讀取事件日誌。

· SID：S-1-5-32-574
名稱：BUILTIN\Certificate Service DCOM Access
描述：內置本地組。該組中的成員都能夠連接到企業中的證書頒發機構。