Qu’est-ce qu’un Windows Security Identifier (SID) et comment résoudre un SID

Windows Security Identifier (abrégé en SID) est identificateur de sécurité Windows.
Toutes les versions de Windows comme Windows 11, Windows 10, Windows 8 et Windows 7 les utilisent dans la configuration du système ou des applications.

Dans ce guide, je vous explique ce que sont les Windows Security Identifier (SID).
Je vous montre quelques utilisations et comment résoudre un SID.

Qu’est-ce qu’un Windows Security Identifier (SID) et à quoi cela sert

Un identifiant de sécurité (SID) est une valeur binaire de longueur variable qui est utilisée pour identifier les entités (les mandants de sécurité) qui agissent d’une manière ou d’une autre dans un système Windows.

Ces entités comprennent :

• les utilisateurs
• les groupes locaux et de domaine
• les ordinateurs
• les domaines
• les membres d’un domaine
• services
• … ?

Voici un exemple de SID : S-1-5-21-453359957-2268684948-1400064784-1001

En d’autres termes, au lieu de travailler avec un le nom d’utilisateur, groupe utilisateur ou services, Windows les identifie avec un SID. Cela permet de modifier le nom d’utilisateur sans modifier la configuration liée à ce dernier.
En outre, il existe des SID bien connus dont les valeurs sont constantes et qui sont utilisés pour identifier des utilisateurs et des groupes génériques.

Lors de l’ajout d’un compte ou groupe utilisateur, le système d’exploitation génère un SID qui identifie ce dernier.
Le SID d’un compte ou d’un groupe local est généré par l’autorité de sécurité locale (LSA) sur l’ordinateur, et il est stocké avec d’autres informations de compte dans une zone sécurisée du registre Windows.
Le SID d’un compte ou d’un groupe de domaine est généré par l’autorité de sécurité de domaine, et il est stocké en tant qu’attribut de l’objet Utilisateur ou Groupe dans services de domaine Active Directory.

La commande whoami permet d’obtenir le SID d’un utilisateur :

whoami /user

A partir de là, Windows accorde ou refuse l’accès et les privilèges aux ressources en fonction des listes de contrôle d’accès (ACL), qui utilisent ces SID pour identifier de manière unique les utilisateurs et leur appartenance à un groupe. Lorsqu’un utilisateur se connecte à un ordinateur, un jeton d’accès est généré, qui contient les SID de l’utilisateur et du groupe, ainsi que les niveaux de privilèges de l’utilisateur. Lorsqu’un utilisateur demande l’accès à une ressource, le jeton d’accès est comparé à la liste de contrôle d’accès (ACL) afin d’autoriser ou de refuser une action particulière sur un objet donné.

Où sont utilisés les SID dans Windows

Essentiellement, dès lorsque les utilisateurs ou groupes utilisateurs interviennent.

Par exemple, ci-dessous, dans les ACL visibles depuis l’onglet Sécurité, on peut voir un compte inconnu avec son SID.

Autre exemple, dans le registre Windows et dans les clés relatives aux utilisateurs ou aux sessions utilisateurs.
Notamment la clé suivante qui stocke les informations des sessions utilisateurs :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList

Quelle est la nomenclature des SID

L’identificateur de sécurité Windows respecte une nomenclature précise.

S	1	5	21-453359957-2268684948-1400064784	1001
Indique qu’il s’agit d’un SID	Numéro de version de la spécification SID	Autorité d’identification	Identifiant de domaine ou d’ordinateur local	ID relatif (RID)

Tous les SID commencent par S-1-5-21 mais sont par ailleurs uniques. Si nécessaire, vous pouvez trouver l’identifiant de sécurité (SID) d’un utilisateur dans Windows pour faire correspondre les utilisateurs à leurs SID.

Certains SID peuvent être décodés sans les instructions mentionnées ci-dessus. Par exemple, l’IDS du compte Administrateur dans Windows se termine toujours par 500. L’IDS du compte Invité se termine toujours par 501.

Valeur	SID universel connu	Identifie
S-1-0-0	SID Null	Un groupe sans membres. Celui-ci est souvent utilisé lorsqu’une valeur de SID n’est pas connue.
S-1-1-0	World (Monde)	Groupe qui inclut tous les utilisateurs.
S-1-2-0	Local	Utilisateurs qui se connectent à des terminaux connectés localement (physiquement) au système.
S-1-2-1	Ouverture de session de console	Groupe qui inclut les utilisateurs connectés à la console physique.
S-1-3-0	ID du propriétaire du créateur	Identificateur de sécurité à remplacer par l’identificateur de sécurité de l’utilisateur qui a créé un nouvel objet. Ce SID est utilisé dans les entrées de contrôle d’accès (ACE) qui peuvent être héritées.
S-1-3-1	ID du groupe de créateur	Identificateur de sécurité à remplacer par le SID du groupe principal de l’utilisateur qui a créé un nouvel objet. Utilisez ce SID dans les ACE héritées.
S-1-3-2	Creator Owner Server (CREATOR OWNER SERVER)
S-1-3-3	Creator Group Server (CREATOR GROUP SERVER)
S-1-3-1	Droits du propriétaire	Groupe qui représente le propriétaire actuel de l’objet. Lorsqu’une ACE qui porte ce SID est appliquée à un objet, le système ignore les autorisations implicites READ_CONTROL et WRITE_DAC pour le propriétaire de l’objet.
S-1-4	Autorité non unique	SID qui représente une autorité d’identificateur.
S-1-5	NT Authority (AUTORITE NT)	SID qui représente une autorité d’identificateur.
S-1-5-80-0	Tous les services	Groupe qui inclut tous les processus de service configurés sur le système. L’appartenance est contrôlée par le système d’exploitation.

Comment convertir un SID

Il existe plusieurs méthodes pour convertir un SID et obtenir la valeur nominale correspondante.

Par exemple, avec la commande WMIC en invite de commandes :

wmic useraccount where sid='S-1-5-21-453359957-2268684948-1400064784-1001' get name, caption,FullName

En PowerShell :

$SID = New-Object System.Security.Principal.SecurityIdentifier("S-1-5-21-453359957-2268684948-1400064784-1001")
$objUser = $SID.Translate([System.Security.Principal.NTAccount])
$objUser.Value

Quels sont les SID génériques de Windows

Windows inclut de nombreux utilisateurs et groupes systèmes.
Voici les principaux avec leurs SID respectifs.

SID	Description
S-1-5-114	Compte local et membre du groupe Administrateurs
S-1-5-11	Utilisateurs authentifiés
S-1-5-14	Ouverture de session interactive
S-1-5-18	Système (ou Système local)
S-1-5-19	Autorité NT (Service local)
S-1-5-20	Service réseau
S-1-5-domaine-500	Administrateur
S-1-5-domaine-501	Invité
S-1-5-32-574	Builtin\Accès DCOM service de certificats
S-1-5-32-579	Builtin\Opérateurs d’assistance de contrôle d’accès
S-1-5-80	Tous les services

S-1-0-0	Le SID null/nobody (utilisé lorsque le SID est inconnu)
S-1-1-0	World, qui est le groupe auquel appartiennent tous les utilisateurs (à l’exception des utilisateurs anonymes).
S-1-2-0	Local
S-1-2-1	Ouverture de session de console
S-1-3-0	ID du propriétaire du créateur
S-1-3-1	ID du groupe de créateur
S-1-3-2	Serveur de groupements de créateurs (CREATOR GROUP SERVER)
S-1-3-3	Identité du groupe du propriétaire du créateur
S-1-3-4	Droits du propriétaire
S-1-5-1	AUTORITE NT\LIGNE
S-1-5-2	AUTORITE NT\RESEAU
S-1-5-3	AUTORITE NT\TACHE
S-1-5-4	AUTORITE NT\INTERACTIVE
S-1-5-5-x-y	est un SID de connexion qui identifie la session de connexion. Ce SID peut être interrogé à l’aide de whoami.exe /logonid.
S-1-5-6	AUTORITE NT\SERVICE
S-1-5-7	Ouverture de session anonyme
S-1-5-8	Proxy
S-1-5-9	Contrôleurs de domaine d’entreprise
S-1-5-10	Self
S-1-5-11	Utilisateurs authentifiés
S-1-5-12	Code restreint
S-1-5-13	Utilisateur de Terminal Server
S-1-5-14	Ouverture de session interactive
S-1-5-15	This Organization (Cette organisation)
S-1-5-17	IUSR
S-1-5-18	Système (ou Système local)
S-1-5-19	Autorité NT (Service local)
S-1-5-20	Service réseau
S-1-5-21-…	Comptes d’utilisateurs (et aussi domaines ?)
S-1-5-21-do-ma-in-500	Administrateur
S-1-5-21-do-ma-in-501	A domain’s guest accoutn which allows users that don’t have a domain account to log in
S-1-5-21-do-ma-in-503	Le compte par défaut (ou compte géré par le système par défaut)
S-1-5-21-do-ma-in-504
S-1-5-32	Le domaine intégré (The built-in domain) contient des groupes qui définissent les rôles sur une machine locale.
S-1-5-32-544
S-1-5-32-545	Utilisateurs
S-1-5-32-546	Invités
S-1-5-32-547	Utilisateurs avec pouvoirs
S-1-5-32-551	Opérateurs de sauvegarde
S-1-5-32-552	Duplicateurs
S-1-5-32-555	Builtin\Utilisateurs du Bureau à distance
S-1-5-32-558	Builtin\Utilisateurs de l’Analyseur de performances
S-1-5-32-559	Builtin\Utilisateurs du journal de performances
S-1-5-32-568	IIS_IUSRS
S-1-5-32-569	Builtin\Opérateurs de chiffrement
S-1-5-32-573	Builtin\Lecteurs des journaux d’événements
S-1-5-32-574	Builtin\Accès DCOM service de certificats
S-1-5-32-575	Builtin\Serveurs Accès Distant RDS
S-1-5-32-576	Builtin\Serveurs RDS Endpoint
S-1-5-32-578	Builtin\Administrateurs Hyper-V
S-1-5-32-579	Builtin\Opérateurs d’assistance de contrôle d’accès
S-1-5-32-581	System Managed Accounts Group
S-1-5-32-583	Propriétaires d’appareils
S-1-5-64-10	Authentication NTLM
S-1-5-80	Tous les services
S-1-5-80-…-…-…-…-…	Le SID d’un service particulier
S-1-5-80-956008885-3418522649-1831038044-1853292631-2271478464	Trusted installer
S-1-5-94-…	Utilisateurs virtuels de Windows Remoting
S-1-5-113	Compte local
S-1-5-114	Compte local et membre du groupe des administrateurs
S-1-15-2-1	Toutes les applications fonctionnant dans le contexte d’un paquet d’applications
S-1-15-3-…	Tous les SID de capacité commencent par S-1-15-3.
S-1-16-…	… Niveau obligatoire

FAQ