Alterando privilégios em um token

Você pode alterar os privilégios em um token primário ou em um token de impersonação de duas maneiras:

• Habilite, desabilite ou remova privilégios usando a função AdjustTokenPrivileges .
• Restrinja ou remova privilégios usando a função CreateRestrictedToken .

AdjustTokenPrivileges não pode adicionar privilégios ao token. Ele só pode habilitar privilégios existentes que estão desabilitados no momento, desabilitar privilégios existentes que estão atualmente habilitados ou remover privilégios existentes. Quaisquer privilégios removidos com AdjustTokenPrivileges não podem ser habilitados novamente depois. Para obter exemplos, consulte Habilitar e desabilitar privilégios no C++.

Para atribuir privilégios a uma conta de usuário, consulte Atribuindo privilégios a uma conta.

CreateRestrictedToken tem recursos mais extensos da seguinte maneira:

• Removendo um privilégio. Observe que remover um privilégio não é o mesmo que desabilitar um. Depois que um privilégio é removido de um token, ele não pode ser colocado novamente.
• Anexando o atributo de negação apenas a SIDs no token. Isso tem o efeito de não permitir grupos ou contas específicos, por exemplo, negar que o grupo Todos excluam o acesso a um arquivo específico. Para obter mais informações sobre como restringir SIDs, consulte atributos sid em um token de acesso.
• Especificando uma lista de restrições de SIDs no token. Para obter informações sobre como restringir SIDs, consulte Tokens Restritos.