セキュリティ記述子定義言語

セキュリティ記述子定義言語（セキュリティきじゅつしていぎげんご、英：Security Descriptor Definition Language、SSDL）は、バイナリデータであるセキュリティ記述子を比較的人間が解釈できる形に表し直すために使用される言語。

相互変換が可能であり、定義言語の詳細は詳しく公式ドキュメントに記載されている^[1]。所有者SID、所有者が所属するグループSID、DACLのACE群、SACLのACE群で構成されている。

構文

以下の4行が大まかな構文であり、明示的なSID文字列を除き、すべて、後述する独自の文字列で構成されている。

O:オーナーSID
G:グループSID
D:DADLフラグ(ACE文字列1)(ACE文字列2)...(ACE文字列N)
S:SACLフラグ(ACE文字列1)(ACE文字列2)...(ACE文字列N)

所有者SID

オブジェクトの所有者のSIDを表す、SIDエイリアス（後述）または標準のSID文字列。

グループSID

オブジェクトの所有者が所属するグループのSIDを表す、SIDエイリアス（後述）または標準のSID文字列。

DACLフラグ/SACLフラグ


文字列	Ssdl.hでの定数名	意味
`P`	`SDDL_PROTECTED`	ACLは保護されている。
`AR`	`SDDL_AUTO_INHERIT_REQ`	ACLを自動的に継承することを要求する。
`AI`	`SDDL_AUTO_INHERITED`	ACLを自動的に継承する。
`NO_ACCESS_CONTROL`	`SDDL_NULL_ACL`	ACLがNULL（誰にでもフルアクセスを許可）。

ACE文字列

ACEの種類;ACEフラグ;アクセス権;オブジェクトGUID;継承オブジェクトGUID;アカウントSID;(リソース属性)

ACEの種類

ACEフラグ

アクセス権

オブジェクトGUID

継承オブジェクトGUID

アカウントSID

リソース属性

SIDエイリアス

主要なSIDエイリアスの例は以下の通りである。エイリアスの一覧は公式ドキュメント^[2]を参照のこと。


文字列	Ssdl.hでの定数名	対応するRID	意味
`AO`	`SDDL_ACCOUNT_OPERATORS`	`DOMAIN_ALIAS_RID_ACCOUNT_OPS`	アカウントオペレーター。
`DA`	`SDDL_DOMAIN_ADMINISTRATORS`	`DOMAIN_GROUP_RID_ADMINS`	ドメイン管理者。
`SY`	`SDDL_LOCAL_SYSTEM`	`SECURITY_LOCAL_SYSTEM_RID`	ローカルシステム。

例

O:DA
G:DA
D:(A;;RPWPCCDCLCRCWOWDSDSW;;;SY)(A;;RPWPCCDCLCRCWOWDSDSW;;;DA)(A;;RPLCRC;;;AU)
S:(AU;SAFA;WDWOSDWPCCDCSW;;;WD)

は、解釈すると以下の通りである。

SD:
  Owner:       S-1-5-21-397955417-626881126-188441444-512
  Group:       S-1-5-21-397955417-626881126-188441444-512
DACL:
  ACE1:
    SID:       S-1-5-18
    Type:      ACCESS_ALLOWED_ACE_TYPE
    Inherit:   なし
    Rights:    DELETE + READ_CONTROL + WRITE_DAC + WRITE_OWNER + その他(0x0000003f)
  ACE2:
    SID:       S-1-5-21-397955417-626881126-188441444-512
    Type:      ACCESS_ALLOWED_ACE_TYPE
    Inherit:   なし
    Rights:    DELETE + READ_CONTROL + WRITE_DAC + WRITE_OWNER + その他(0x0000003f)
  ACE3:
    SID:       S-1-5-11
    Type:      ACCESS_ALLOWED_ACE_TYPE
    Inherit:   なし
    Rights:    READ_CONTROL + その他(0x00000014)
SACL:
  ACE1:
    SID:       S-1-1-0
    Type:      SYSTEM_AUDIT_ACE_TYPE
    Inherit:   SUCCESSFUL_ACCESS_ACE_FLAG + FAILED_ACCESS_ACE_FLAG
    Rights:    DELETE + WRITE_DAC + WRITE_OWNER + その他(0x0000002b)

参照

脚注

出典

^ alvinashcraft (2023年6月13日). “セキュリティ記述子定義言語 - Win32 apps”. learn.microsoft.com. 2025年1月25日閲覧。
^ alvinashcraft (2024年2月14日). “SID 文字列 - Win32 apps”. learn.microsoft.com. 2025年1月28日閲覧。

[1] vinashcraft (2023年6月13日). “セキュリティ記述子定義言語 - Win32 apps”. learn.microsoft.com. 2025年1月25日閲覧。

[2] vinashcraft (2024年2月14日). “SID 文字列 - Win32 apps”. learn.microsoft.com. 2025年1月28日閲覧。

[1]

[2]