Windows 组件排查：SeImpersonatePrivilege 和 SeCreateGlobalPrivilege - Windows Server

本文讨论 身份验证后模拟客户端 并 创建全局对象 用户权限。

原始 KB 数： 821546

总结

本文讨论“身份验证后模拟客户端”和“创建全局对象”用户权限。 这些新的安全设置首先在 2000 service Pack 4（SP4）Windows引入，有助于提高 2000 Windows的安全性。 本文介绍新的安全设置，还包含有关可能出现的一些已知问题以及如何对其进行故障排除的信息。

Important

使用默认域策略或组策略应用“身份验证后模拟客户端”和“创建全局对象”用户权限时，请考虑以下问题：

• “身份验证后模拟客户端”和“创建全局对象”用户权限仅适用于运行 Windows 2000 SP4 或更高版本的计算机。

• 如果计算机正在运行 Windows 2000 Service Pack 2（SP2）或更高版本，则可以使用默认域策略或组策略将“身份验证后模拟客户端”和“创建全局对象”安全设置应用于环境中的计算机。 请注意，尽管可以在包含 Windows 2000 SP2 和基于 Windows 2000 Service Pack 3（SP3）的计算机的环境中部署安全设置，但安全设置仅适用于基于 Windows 2000 SP4 的计算机。 这些设置不适用于运行 Windows 2000 SP2 或 Windows 2000 SP3 的计算机。

• 请勿使用默认域策略或其他组策略将这两项新用户权限应用于运行 Windows 2000 或 Windows 2000 Service Pack 1（SP1）的计算机。 请注意，如果使用默认域策略或其他组策略将这些用户权限应用于运行 Windows 2000 或 Windows 2000 Service Pack 1（SP1）的计算机，则策略的安全设置传播会失败。 也就是说，策略不会传播到 Windows 2000 或 Windows 2000 SP1 计算机，并且用户权限不会显示在“本地安全设置”管理单元中。 如果使用默认域策略或其他组策略将这两个新用户权限应用于运行 Windows 2000 或 Windows 2000 Service Pack 1（SP1）的计算机，则可能会发生以下情况：

  • 位于同一组策略对象中、以 Windows 2000 或 Windows 2000 Service Pack 1（SP1）设备为目标的其他安全策略设置，不会传播到目标设备。
  • 沿 SDOU（站点、域、组织单位）路径，通过其他组策略应用到 Windows 2000 或 Windows 2000 Service Pack 1 (SP1) 设备的、将被传播的其他安全策略设置。
  • 如果这两个新安全设置都针对 Windows 2000 或 Windows 2000 Service Pack 1 （SP1） 设备，则这些设备上的本地 MMC 安全管理单元无法正确显示任何安全设置。 但是，从其他域端组策略对象（不包含新设置）应用于目标设备的所有安全设置仍将应用于这些目标设备。

• 同样，如果域控制器运行Windows 2000 SP2 或更高版本，则可以使用默认域控制器安全策略将“身份验证后模拟客户端”和“创建全局对象”安全设置应用于环境中的域控制器。 请注意，虽然可以在包含 Windows 2000 SP2 和基于 2000 SP3 的域控制器Windows的环境中部署安全设置，但安全设置仅适用于基于 Windows 2000 SP4 的域控制器。 这些设置不适用于运行 Windows 2000 SP2 或 Windows 2000 SP3 的域控制器。

问题 1：“身份验证后模拟客户端”用户权限（SeImpersonatePrivilege）

“身份验证后模拟客户端”用户权限（SeImpersonatePrivilege）是Windows 2000 安全设置，首次在 2000 SP4 Windows引入。 默认情况下，设备本地管理员组的成员和设备本地服务帐户将分配“身份验证后模拟客户端”用户权限。 以下组件还具有此用户权限：

• 由服务控制管理器启动的服务
• 组件对象模型 （COM） 服务器，这些服务器由 COM 基础结构启动，并且配置为在特定帐户下运行

向用户分配“身份验证后模拟客户端”用户权限时，允许代表该用户运行的程序模拟客户端。 此安全设置有助于防止未经授权的服务器冒充通过远程过程调用（RPC）或命名管道等方式与其连接的客户端。 有关 SeImpersonatePrivilege 函数的详细信息，请访问以下Microsoft网站：在身份验证后模拟客户端

有关 Impersonate 函数（如 ImpersonateClient、ImpersonateLoggedOnUser 和 ImpersonateNamedPipeClient）的详细信息，请在 Microsoft Platform SDK 文档中搜索 SeImpersonatePrivilege。 若要查看本文档，请访问以下Microsoft网站：在身份验证后模拟客户端

问题 1 疑难解答

• 安装 Windows 2000 SP4 后，使用模拟的某些程序可能无法正常工作。

  在计算机上安装 Windows 2000 Service Pack 4 （SP4）后，使用模拟的某些程序可能无法正常工作。

  在用于运行程序的用户帐户没有“身份验证后模拟客户端”用户权限时，可能会出现此问题。

  在运行 Windows 2000 Service Pack 3（SP3）及更早版本的计算机上，不需要用户权限来模拟客户端。 因此，安装 Windows 2000 SP4 后，使用模拟的某些程序可能无法正常工作。

  若要解决此问题，请标识用于运行程序的用户帐户，然后将“身份验证后模拟客户端”用户权限分配给该用户帐户。 为此，请执行以下步骤：

  1. 单击“ 开始”，指向 “程序”，指向 “管理工具”，然后单击“ 本地安全策略”。
  2. 展开本地策略，然后单击用户权限分配。
  3. 在右窗格中，在 身份验证后双击“模拟客户端”。
  4. 在“ 本地安全策略设置 ”对话框中，单击“ 添加”。
  5. 在 “选择用户或组 ”对话框中，单击要添加的用户帐户，单击“ 添加”，然后单击“ 确定”。
  6. 单击 “确定” 。

  注释

  若要排查无法确定用于运行程序的用户帐户以及要验证你遇到的症状是否由用户权限引起的情况，请将“身份验证后模拟客户端”用户权限分配给“每个人”组，然后启动程序。 如果程序正常工作，则遇到的问题可能是由新的安全设置引起的。

• 在 Visual Studio .NET 中调试 Web 应用程序时，会收到“尝试运行项目时出错”错误消息。

问题 2：“创建全局对象”用户权限（SeCreateGlobalPrivilege）

“创建全局对象”用户权限（SeCreateGlobalPrivilege）是Windows 2000 安全设置，该设置在 2000 SP4 Windows首次引入。 用户帐户需要用户权限才能创建全局文件映射和符号链接对象。 请注意，用户仍然可以创建特定于会话的对象，而无需分配此用户权限。 默认情况下，由服务控制管理器启动的管理员组、系统帐户和服务的成员将分配“创建全局对象”用户权限。

问题 2 疑难解答

• 安装 Windows 2000 SP4 后，某些程序可能无法正常工作。

  在计算机上安装 Windows 2000 Service Pack 4 （SP4）后，某些程序可能无法正常工作。 当用于运行程序的用户帐户没有“创建全局对象”用户权限时，可能会出现此问题。

  若要解决此问题，请标识用于运行程序的用户帐户，然后将“创建全局对象”用户权限分配给该用户帐户。 为此，请执行以下步骤：

  1. 单击“ 开始”，指向 “程序”，指向 “管理工具”，然后单击“ 本地安全策略”。
  2. 展开本地策略，然后单击用户权限分配。
  3. 在右窗格中，双击“ 创建全局对象”。
  4. 在“ 本地安全策略设置 ”对话框中，单击“ 添加”。
  5. 在 “选择用户或组 ”对话框中，单击要添加的用户帐户，单击“ 添加”，然后单击“ 确定”。
  6. 单击 “确定” 。

  注释

  若要排查无法确定用于运行程序的用户帐户以及要验证你遇到的症状是否由用户权限引起的情况，请将“创建全局对象”用户权限分配给“每个人”组，然后启动程序。 如果程序正常工作，则遇到的问题可能是由新的安全设置引起的。

• 在终端服务会话的 Office XP 文档中搜索剪辑时，会收到“内存不足”错误消息。

• 安装 McAfee 家长控制后，重新启动运行 Windows 2000 Server 的计算机时，计算机会停止响应（挂起）。