Windowsのセキュリティ設定を記述するSDDL文字列とは？：Tech TIPS

連載目次

解説

　Windows OSでは、セキュリティを確保するために、システム内部に存在する各種のオブジェクト（ファイルだけでなく、サービスやプロセス、パイプといった、動的に生成されるものも含む）に対して、アクセス権を設定し、権限を持つユーザーやグループからのアクセスを許可し、それ以外からのアクセスを禁止するなどしている。アクセス権の設定で利用される「アクセス制御リスト（ACL）」については、TIPS「アクセス制御リストACLとは？」で解説しているので、参考にしていただきたい。

　ACLの設定内容を確認したり、編集したりするためには、エクスプローラの［プロパティ］ダイアログにある［セキュリティ］タブを使ってGUIで操作する方法と、caclsコマンドを使ってコマンドプロンプト上で操作する方法の2種類がある。

• 関連記事： caclsコマンドの出力の見方（TIPS）
• 関連記事： caclsコマンドでACLを編集する（TIPS）

　このうち、caclsコマンドを使用する方法では、設定できるアクセス権（属性）に制限があり、全ての属性を設定することはできなかった。これに対して、SDDL表記を利用すれば、全ての権限を指定することができる。

　またファイルのアクセス権の設定以外にも、Windows OSのセキュリティ設定では、このSDDLを使って設定作業を行うケースもある。例えば、サポート技術情報の「Windows XP Service Pack 2 を実行しているコンピュータのユーザーにリモート アシスタンスを提供できない」や「[MS06-011] 制限の少ない Windows サービスの DACL により、特権が昇格される」などでは、SDDLを使う例が紹介されている。本TIPSでは、このSDDLについて解説する。

●SDDLとは

　「SDDL（Security Descriptor Definition Language）」とは、セキュリティ記述子を表現するための汎用的な表記方法であり、DACLだけでなく、監査の設定や、DCOMのセキュリティ設定など、セキュリティ関連の設定項目で広く利用されている表記方法である。またWindows OSのシステムファイルの初期設定を行うための各種.INFファイル中では、このSDDL文字列による表記を使って、各種ファイルの初期セキュリティ設定が行われている。例えば以下に示すのは、Windows OSインストール後の各種ファイルやレジストリのセキュリティ設定を行う、「%windir%\inf\defltwk.inf」ファイルの一部である。

　橙色で示した部分がSDDL文字列の例である。（大文字の）アルファベットや記号類が意味もなく並んでいるように見えるが、これがSDDLによるセキュリティ設定の例であり、例えば一番上の行では、ファイル「ntbootdd.sys」のデフォルトのセキュリティ設定を規定している。

　SDDLは、セキュリティ設定を表す属性文字列を、なるべく短い文字列でコンパクトの表現できるように設計されている。具体的には、以下の4つの形式がある。

　このようにいくつか種類があるが、本TIPSではリソースへのアクセスを制御するDACLについて解説する。

●DACLを表すSDDL文字列

　リソースへのアクセス制御に使われるDACL（随意アクセス制御リスト）は、“D:〜”という文字列で指定する。先頭の“D:”に続いて、「DACLフラグ」が続き、さらに「ACE（アクセス制御エントリ）文字列」が複数続く。

　この例では、“P”というDACLフラグに続いて、3つのACEが定義されている。以下、それぞれの要素について、見ていこう（ただしDACL以外の要素についても解説する）。

●「DACLフラグ」の構成

　「DACLフラグ」は、DACLに適用されるセキュリティ記述子の制御用フラグであり、以下のような意味を持つ。

●「ACE文字列」の構成

　「ACE文字列」は、DACLを構成するACEを定義するために利用される。例えばAdministratorsにフルコントロールを与えるとか、Everyoneからのアクセスを全て拒否する、といったエントリごとに、ACE文字列を1つずつ定義し、連結して使用する。ACE文字列の書式は次のようになっている。

　( ) 内には、ACEタイプやACEフラグなどを表す文字列を、“;”で区切って記述する。これらの文字列は基本的には英大文字2文字で表現されている。この例では「A」「CI」「OI」「GR」「GW」「GX」「SD」「PU」といった要素が組み合わされている。ただし全ての項目が指定されているわけではなく、ACLのバージョンによっては省略されている場合がある（「オブジェクトGUID」と「継承オブジェクトGUID」はActive DirectoryのオブジェクトのACLでのみ使われるもので、通常のACLでは上の例のように空欄となっている）。

　以下、それぞれの要素について順に見ていこう。

■「ACEタイプ」

　ACEの種類を表す。

■「ACEフラグ」

　ACEの継承に関する情報を表す。

■「権利」

　オブジェクトのアクセス権を表す。

■「オブジェクトGUID」

　パスワードの変更やリセットなど、特別なタスクの実行を許可するための権利を表すオブジェクトのGUID文字列を表す。

■「継承オブジェクトGUID」

　ACEを継承するオブジェクトのGUIDを表す文字列を指定する。

■「アカウントSID」

　ACEの提供対象となるSIDを表す。SIDについてはTIPS「オブジェクトを識別するSIDとは？」を参照のこと。「S-1-……」といった標準的な形式だけでなく、あらかじめ用意されているアカウントに対しては、以下のような2文字の省略形も使用することができる。

　以上のようにして合成されたSDDL文字列は、例えばWindows Server 2003のcaclsコマンドなどで使用することができる。これについては別記事の「caclsコマンドでACLを編集する（SDDL編）」を参照していただきたい。

「Tech TIPS」