アクセストークン

コンピュータシステムでは、アクセストークンにはログインセッションのセキュリティ資格情報が含まれており、ユーザー、ユーザーのグループ、ユーザーの権限、場合によっては特定のアプリケーションを識別します。^[1]場合によっては、通常のパスワードではなく、アクセストークン（たとえば、ランダムな40文字）の入力を求められることがあります（したがって、パスワードと同様に秘密にしておく必要があります）。

アクセストークンは、プロセスまたはスレッドのセキュリティIDをカプセル化するオブジェクトです。^[2]トークンは、セキュリティ上の決定を下すため、および何らかのシステムエンティティに関する改ざん防止情報を格納するために使用されます。トークンは通常、セキュリティ情報のみを表すために使用されますが、トークンの作成中に添付できる追加の自由形式データを保持することもできます。トークンは特別な権限がなくても複製できます。たとえば、起動したアプリケーションのアクセスを制限するために、より低いレベルのアクセス権を持つ新しいトークンを作成することができます。アクセストークンは、プロセスまたはスレッドがセキュリティ記述子を持つオブジェクト (セキュリティ保護可能なオブジェクト)と対話しようとするときに、Windowsによって使用されます。 ^[2] Windowsでは、アクセストークンは型のシステムオブジェクトによって表されますToken。

アクセス トークンは、ユーザーがシステムにログオンし、ユーザーが提供する資格情報が認証データベースに対して認証されるときに、ログオンサービスによって生成されます。認証データベースには、ユーザー ID、プライマリ グループ ID、ユーザーが属する他のすべてのグループ、およびその他の情報など、ログオン セッションの初期トークンを作成するために必要な資格情報が含まれています。トークンは、ユーザー セッションで作成された初期プロセスに添付され、初期プロセスによって作成された後続のプロセスに継承されます。^{[2]このようなプロセスが}アクセス制御が有効になっているリソースへのハンドルを開くたびに、Windows はターゲット オブジェクトのセキュリティ記述子のデータを、現在の有効なアクセス トークンの内容と照合します。^[3]このアクセス チェック評価の結果は、アクセスが許可されているかどうか、また、許可されている場合は、呼び出し元のアプリケーションが実行できる操作 (読み取り、書き込み/変更など) を示します。

利用可能なトークンには 2 種類あります。

プライマリトークン

プライマリ トークンはプロセスにのみ関連付けることができ、プロセスのセキュリティ サブジェクトを表します。プライマリ トークンの作成とプロセスへの関連付けはどちらも特権操作であり、特権の分離という名目で 2 つの異なる特権が必要です。一般的なシナリオでは、認証サービスがトークンを作成し、ログオン サービスがそれをユーザーのオペレーティングシステム シェルに関連付けます。プロセスは最初に親プロセスのプライマリ トークンのコピーを継承します。

なりすましトークン

偽装は、Windows NT に実装されたセキュリティ概念であり、これにより、サーバー アプリケーションが、セキュリティ保護されたオブジェクトへのアクセスに関して一時的にクライアントになることができます。偽装には、次の 4 つのレベルがあります。匿名 (サーバーに匿名/未確認ユーザーのアクセス権を与える)、識別(サーバーがクライアントの ID を検査するが、その ID を使用してオブジェクトにアクセスしない) 、偽装(サーバーがクライアントの代わりに動作できるようにする)、委任(偽装と同じですが、サーバーが接続するリモート システムにまで拡張されます (資格情報の保存により))。クライアントは、サーバーが接続パラメータとして使用できる最大の偽装レベル (ある場合) を選択できます。委任と偽装は特権操作です (偽装は当初は特権操作ではありませんでしたが、クライアントAPIの実装における歴史的不注意により、既定のレベルを「識別」に制限しなかったため、権限のないサーバーが権限のあるクライアントになりすましたため、特権が必要になりました)。偽装トークンは、スレッドにのみ関連付けることができ、クライアントプロセスのセキュリティ サブジェクトを表します。偽装トークンは通常、DCE RPC、DDE、名前付きパイプなどのIPCメカニズムによって作成され、現在のスレッドに暗黙的に関連付けられます。

トークンは、次のようなさまざまなフィールドで構成されています。^[4]

• 識別子。
• 関連するログオン セッションの識別子。セッションは認証サービスによって維持され、認証パッケージによって、ログイン時にユーザーが提供したすべての情報 (資格情報) のコレクションが入力されます。資格情報は、関連するすべてのシステムが認証機関 ( Kerberosチケット サーバーなど) を共有している場合、ユーザーが再認証する必要なくリモート システムにアクセスするために使用されます (シングル サインオン)。
• ユーザー識別子。このフィールドは最も重要であり、厳密に読み取り専用です。
• ユーザー (または、より正確にはサブジェクト) が属するグループの識別子。グループ識別子は削除できませんが、無効にしたり、「拒否のみ」にしたりすることはできます。最大で 1 つのグループがセッション IDとして指定されます。セッション ID はログオン セッションを表す揮発性グループであり、ディスプレイなど、セッションに関連付けられた揮発性オブジェクトへのアクセスを許可します。
• 制限グループ識別子 (オプション)。この追加のグループ セットは追加のアクセスを許可するのではなく、さらにアクセスを制限します。オブジェクトへのアクセスは、これらのグループのいずれかにも許可されている場合にのみ許可されます。制限グループは削除することも無効にすることもできません。制限グループは最近追加されたもので、サンドボックスの実装で使用されます。
• 権限、つまりユーザーが持つ特別な機能。セキュリティに配慮していないプログラムによる損害を防ぐため、ほとんどの権限は既定で無効になっています。Windows XP Service Pack 2 および Windows Server 2003 以降では、 属性AdjustTokenPrivileges()を使用してを呼び出すことで、トークンから権限を永久に削除できますSE_PRIVILEGE_REMOVED。
• トークンに関連付けられたサブジェクトによって作成されたトークンのデフォルトの所有者、プライマリ グループ、および ACL。

• APIキー
• クレームベースのアイデンティティ
• セッションID
• JSON ウェブトークン