新证书中分配了 LogonSessionId 账户的读取访问权限？

Question

我有一个问题，希望有人能够解答。我正在编写一个 Powershell 脚本，将证书导入到本地计算机存储，并将“每个人”组分配为证书上私钥的读取权限。

现在，我已经有一个有效的脚本可以实现这一点，但是我注意到我的某个账户被分配了阅读私钥访问控制列表（ACL）的权限，如下图所示：“LogonSessionId_0_some-random-number”。

起初我以为是我的脚本导致了这个问题，但当我手动导入证书时，结果相同。

有人见过这种情况吗？为什么会出现这种情况？这个账户到底是什么，为什么要分配权限？我尝试搜索答案，但没有找到。

不确定是否有帮助，但这是我的代码部分，用于导入证书并分配权限：

    $sslCert = gci Cert:\LocalMachine\My | WHERE {$_.Subject -match $getCerts}
    $sslCertPrivKey = $sslCert.PrivateKey
    $privKeyCertFile = Get-Item -path "$ENV:ProgramData\Microsoft\Crypto\RSA\MachineKeys\*"  | WHERE {$_.Name -eq $sslCertPrivKey.CspKeyContainerInfo.UniqueKeyContainerName}
    $privKeyAcl = (Get-Item -Path $privKeyCertFile.FullName).GetAccessControl("Access")
    $permission = "Everyone","Read","Allow"
    $accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule $permission
    $privKeyAcl.AddAccessRule($accessRule)
    Set-Acl $privKeyCertFile.FullName $privKeyAcl

我使用的是Windows 10专业版。

任何帮助/见解都非常感激！

- obs0lete

---

您需要检查SID的数字形式以确保，但大概是登录会话SID。（S-1-5-5-X-Y。）每当您登录或更一般地说，每当交互式身份验证发生时，都会生成一个登录会话ID和相关的SID。这些通常用于为特定登录会话中的所有进程提供访问所需的窗口站和桌面对象，以便显示GUI。（我不知道为什么在这种情况下会授予登录会话SID访问权限。） - Harry Johnston

谢谢Harry Johnston！我认为这就是正在发生的事情，但我仍然不确定为什么这个帐户也被授予了访问权限。我在另一台生产服务器上查看了一下，发现导入证书时也会出现同样的情况...这是在Win 2K8 R2操作系统上。无论如何，我想我只能根据需要手动编辑此帐户或将其保留不变。 - obs0lete

在这种情况下，由于你正在给予每个人阅读权限，那么额外的权限就是多余的。你可以忽略它。 - Harry Johnston

“你需要检查SID的数字形式才能确定。”五年后，出现了类似的问题。但是我该如何获取SID呢？我尝试了通常的wmic命令（例如：wmic useraccount where name='LogonSessionId_0_401541' get sid），但所有实验都只导致类似于“没有可用的实例”。（不重要的细节：我需要该用户的SID，因为我必须在一个大文件树中替换该用户的ACLs。） - Binarus

Answer 1

这是因为您有不同的范围。 当您在机器级别添加某些内容时，默认情况下会给所有用户读取权限。可以访问该计算机的所有人都将能够看到证书。 您不需要明确地为机器级别证书授予用户读取访问权限。 就像安装某些程序时它们会问“安装所有用户？”如果您选择是，它将安装在机器级别，每个人都可以使用它，否则它将只安装给您，使用不同用户登录意味着他们无法访问。

注释掉脚本中特定于用户的部分以测试我所说的，您将注意到所有用户都被赋予只读权限，事情将按预期工作。

- Mike

Answer 2

将此代码更改为 $accessRule = New-Object Security.AccessControl.FileSystemAccessRule $permission

- Eduardo Campaner

---

目前，你的回答不够清晰。请[编辑]并添加更多细节，以便他人了解它如何回答问题。你可以在帮助中心找到有关编写良好答案的更多信息。 - Community