是否存在与 SID 1:1 映射的可读 Windows 用户帐户 ID？

Question

我需要在各个进程之间传递唯一的 Windows 用户帐户标识符（在运行 Windows 10 x64 1803 或更高版本的单台计算机范围内是唯一的）。

帐户的 SID 是自然选择，但不透明的 ID 会使调试变得痛苦，所以我更喜欢将 1:1 映射到 SID 的 人类可读。

我最初只尝试了登录名（例如“Rosalyn”）。我可以将其映射回正确的 SID，但由于某种原因在不同的用户帐户下运行时我使用的映射方法不起作用（请参阅下面的编辑）。

Windows 使用至少两种其他形式的用户帐户 ID：

• username@somedomain.com
• 域\用户名

...但是这些让我有点紧张；文档提到并非所有用户都拥有的环境（例如 LDAP、域、目录服务等）。这必须适用于所有用户，无论他们是在家中还是在公司环境中。

有没有人遇到过这种情况？如果在某处有关于如何来回映射的文档，则可以加分。

编辑

...但是由于某种原因，在不同的用户帐户下运行时，我使用的映射方法不起作用。

你能解释一下原因吗？ – 奋斗太阳 - MSFT

// Get the SID for this user
try
{
    var ntAccount = new NTAccount(logonUser); // e.g. logonUser = "Scott"
    return (SecurityIdentifier)ntAccount.Translate(typeof(SecurityIdentifier));
}
catch (Exception)
{
    Trace.WriteLine($"Unable to get SID for {logonUser}", "ERROR");
    throw;
}

以登录用户身份运行时，此代码返回正确的 SID (S-1-5-21-4275680301-1639116052-1993100807-1001)，但在 SYSTEM 帐户下运行时，给定相同的登录用户，此代码返回本地系统的 SID (S-1-5-18)。

我认为登录用户名可能不合格，所以我尝试了"<user-domain-name>\<user-name>" 和"<machine-name>\<user-name>"，但无论我使用的帐户是什么，这些都不起作用。

另外，使用 UserDomainName 之类的东西让我有点紧张，因为我选择的任何方法都必须适用于所有用户，无论他们的环境如何（家庭或公司 LAN）。这是一个对我不知道的事情感到不安的情况......

Answer 1

您可以使用LookupAccountNameA 获取 sid。

LookupAccountName 函数接受系统名称和 帐户作为输入。它检索安全标识符 (SID) 帐户以及在其中找到该帐户的域的名称。

并且使用这个api不需要在LocalSystem账户的上下文中运行。

代码示例：(C++)

#include <Windows.h>
#include <Sddl.h>

#include <stdio.h>

int main(int argc, char** argv)
{
    LPCTSTR wszAccName = TEXT("domainname\\username");
    LPTSTR wszDomainName = (LPTSTR)GlobalAlloc(GPTR, sizeof(TCHAR) * 1024);
    DWORD cchDomainName = 1024;
    SID_NAME_USE eSidType;
    LPTSTR sidstring;
    char sid_buffer[1024];
    DWORD cbSid = 1024;
    SID* sid = (SID*)sid_buffer;

    if (!LookupAccountName(NULL, wszAccName, sid_buffer, &cbSid, wszDomainName, &cchDomainName, &eSidType)) {
        return GetLastError();
    }

    if (!ConvertSidToStringSid(sid, &sidstring)) {
        return GetLastError();
    }

    printf("%ws\n", sidstring);
    return 0;

}