默认情况下，思科 ISE 提供内部管理员身份验证。要设置外部身份验证，您必须为您在外部身份库中定义的外部管理员帐户创建密码策略。然后，您可以将此策略应用于最终成为外部管理员 RBAC 策略一部分的外部管理员组。

要配置外部身份验证，必须执行以下操作：

• 使用外部身份库，配置基于密码的身份验证。

• 创建外部管理员组。

• 为外部管理员组配置菜单访问和数据访问权限。

• 为外部管理员身份验证创建 RBAC 策略。

除了通过外部身份库提供身份验证之外，您的网络还可能要求您使用通用访问卡 (CAC) 身份验证设备。

用户身份就像一个容纳关于用户的信息并形成其网络访问凭证的容器。每个用户的身份都由数据定义并且包括：用户名、邮件地址、密码、帐户说明、关联管理组、用户组和角色。

用户组是单个用户的集合，这些用户拥有一系列允许其访问特定思科 ISE 服务和功能的相同权限。

用户的组身份包含用于标识和说明属于同一个组的一组特定用户的元素。组名是此组的成员具有的功能角色的说明。组是属于此组的用户的列表。

用户角色是决定用户可以执行什么任务以及可以访问思科 ISE 网络上的什么服务的一系列权限。用户角色与用户组关联。例如，网络接入用户。

思科 ISE 允许根据用户属性限制网络访问用户和管理员的网络访问。思科 ISE 具有一系列预定义的用户属性并且允许创建自定义属性。两种属性都可以用于定义身份验证策略的条件中。您还可以为用户帐户定义密码策略，以使密码符合指定的条件。

自定义用户属性

您可以在用户自定义属性窗口（管理 > 身份管理 > 设置 > 用户自定义属性）配置其他用户帐户属性。在此窗口中，您还可以查看预定义用户属性列表。不能编辑预定义用户角色。

在用户自定义属性 (User Custom Attributes) 窗格输入必填的详细信息以添加新的自定义属性。在添加或编辑网络访问用户（管理 [Administration] > 身份管理 [Identity Management] > 身份 [Identities] > 用户 [Users] > 添加/编辑 [Add/Edit]）或管理员用户（管理 [Administration] >系统 [System] > 管理访问 [Admin Access] > 管理员 [Administrators] > 管理员用户 [Admin Users] > 添加/编辑 [Add/Edit]）时，会显示您在用户自定义属性 (User Custom Attributes) 窗口添加的自定义属性和默认值。在添加或编辑网络访问或管理员用户时，您可以更改默认值。

您可以在用户自定义属性 (User Custom Attributes) 窗口为自定义属性选择以下数据类型：

• 字符串 (String)：您可以指定最大字符串长度（字符串属性值允许的最大长度）。

• 整数 (Integer)：您可以配置最小和最大值（指定最低和最高的可接受整数值）。

• 枚举 (Enum)：您可以为每个参数指定以下值：

  • 内部使用

  • 显示值

  您还可以指定默认参数。在显示 (Display) 字段中添加的值会在添加或编辑网络访问或管理员用户时显示。

• Float

• 密码 (Password)：您可以指定最大字符串长度。

• 长 (Long)：您可以配置最小和最大值。

• IP：您可以指定默认 IPv4 或 IPv6 地址。

• Boolean：您可以设置 True 或 False 作为默认值。

• 日期 (Date)：您可以从日历中选择一个日期并将其设置为默认值。该日期显示格式为 yyyy-mm-dd。

如果要在添加或编辑网络访问或管理员用户时将一个属性设置为强制属性，请选中强制 (Mandatory) 复选框。您还可以设置自定义属性的默认值。

自定义属性可在身份验证策略中使用。您为自定义属性设置的数据类型和允许范围将应用于策略条件中的自定义属性值。

切记	对于属性名称和属性值，某些字符被视为无效。在属性名称和属性值中限制使用以下字符。 属性值：@、=、+ 或 -（请勿在属性名称或属性值开头使用这些字符） 属性名称：^、=、\、"、`、|、:（请勿在字符串中的任何地方使用这些字符）

并非所有外部身份存储区都允许网络访问用户更改其密码。有关详细信息，请参阅每个身份源对应的部分。

网络使用密码规则是在 管理 > 身份管理 > 设置 > 用户身份验证设置中配置的。

以下部分提供有关 密码策略 选项卡上某些字段的更多信息。

• 必要字符 (Required Characters)：如果配置要求使用大写或小写字符的用户密码策略，而用户的语言不支持这些字符，则用户无法设置密码。要支持 UTF-8 字符，请取消选中以下复选框：

  • 小写字母字符

  • 大写字母字符

• 密码更改增量 (Password Change Delta)：指定在将当前密码更改为新密码时必须更改的最小字符数。从思科 ISE 3.2 开始，密码范围已更改为 1-20。思科 ISE 不会将字符位置更改视为更改。例如，如果密码增量为 3，当前密码为“?Aa1234?”，则“?Aa1567?” （“5”、“6”和“7”是三个新字符）是有效的新密码。“?Aa1562?”失败，因为“?”、“2”和“?”字符包含在当前密码中。“Aa1234??”失败，因为尽管字符位置已更改，但当前密码中的字符是相同的。

  密码更改增量也会考虑以前的 X 个密码，其中 X 是密码必须与以前的版本不同 (Password must be different from the previous versions) 的值。如果密码增量为 3，密码历史记录为 2，则必须更改未包含在过去两个密码中的 四个字符。

• 字典单词 (Dictionary words)：选中此复选框可限制使用任何字典单词、它的逆序字符或用其他字符替换的字母。

  不允许用“$”替换“s”、“@”替换“a”、“0”替换“o”、“1”替换“l”、“!”替换“i”、“3”替换“e”。例如，“Pa$$w0rd”。

  • 默认字典 (Default Dictionary)：选择此选项可在思科 ISE 中使用默认 Linux 字典。此默认字典包含约 480,000 个英文单词。

  • 自定义字典 (Custom Dictionary)：选择此选项可使用您自定义的字典。点击选择文件 (Choose File) 以选择自定义字典文件。此文本文件必须包含新行分隔单词，为 .dic 扩展，且大小低于 20 MB。

• 您可以使用密码生存期 (Password Lifetime) 部分更新密码重置间隔和提醒。要设置密码的有效期，请选中每__天更改密码（有效范围1到3650）复选框，并在输入字段中输入天数。如果用户未在指定时间内更改密码，则可以通过选择 禁用用户账户 选项来禁用用户账户。选择 下次登录时需要更改密码 ，以提示用户在下次登录思科 ISE 时更改其密码。

  要发送密码重置提醒邮件，请选中在密码到期前 __ 天显示提醒 (Display reminder __ days prior to password expiration) 复选框，然后输入将提醒邮件发送到为网络访问用户配置的邮件地址的提前天数。在创建网络访问用户时，您可以在管理 > 身份管理 > 身份 > 用户 > 添加网络访问用户窗口中添加邮件地址，以发送密码重置邮件通知。

  注

  提醒邮件从以下邮件地址发送：iseadminportal@<ISE-Primary-FQDN>. 您必须明确允许该发件人的访问权限。 默认情况下，提醒邮件包含以下内容：您的网络访问密码将在 <密码到期日期和时间> 到期。如需帮助，请联系您的系统管理员。 从思科 ISE 版本 3.2 开始，您可以在邮件通知的 请联系系统管理员寻求帮助 部分之后自定义邮件内容。 在思科 ISE 版本 3.2 中，如果未在“密码生命周期”字段 (Administration > Identity Management > Settings > User Authentication Settings > Password Policy > Password Lifetime) 下选中“更改密码”复选框，则不会在“网络访问用户”窗口中显示该用户的“密码生命周期”字段。

• 锁定/暂停账户前的错误登录尝试数：如果登录尝试失败次数超过所指定的值，使用此选项暂停或锁定账户。有效范围为 3 到 20。

• 账号禁用策略：配置有关何时禁用现有用户账户的规则。有关详细信息，请参阅全局禁用用户帐户。

对用户或管理员进行身份验证或查询时，思科 ISE 会在管理 > 身份管理 > 设置 > 用户身份验证设置中检查全局帐户禁用策略设置，并根据配置进行身份验证或返回结果。

思科 ISE 会验证以下三个策略：

• 禁用超过指定日期 (yyyy-mm-dd) 的用户账号：在指定日期禁用用户账号。但是，在管理 > 身份管理 > 身份 > 用户 > 帐户禁用策略中为单个网络访问用户配置的帐户禁用策略设置优先于全局设置。

• 在帐户创建或最后一次启用 n 天后禁用用户账号：在帐户创建或帐户最后一次处于活动状态的日期过去指定天数后禁用用户账号。您可以在管理 > 身份管理 > 身份 > 用户 > 状态中检查用户状态。

• 处于非活动状态 n 天后禁用帐户：禁用在配置的连续天数内尚未进行身份验证的管理员和用户账号。在 n 天不活动后禁用账户的选项仅适用于使用内部密码的思科 ISE 内部用户。

从思科 Secure ACS 迁移至思科 ISE 后，为思科安全 ACS 中的网络访问用户指定的帐户禁用策略设置迁移至思科 ISE。

注

为任何过滤器类型配置的收集过滤器都会过滤掉发送到监控节点的验证系统日志消息。有关详细信息，请参阅《思科 ISE 管理员指南》“维护和监控”一章中的收集过滤器主题。 如果为任何属性和过滤器类型配置了收集过滤器（管理 (Administration) > 系统 (System) > 日志记录 (Logging) > 收集过滤器 (Collection Filter)）；并且您还选中了在 n 天不活动后禁用账户 (Disable account after n days of inactivity) 复选框（管理 (Administration) 、 > 身份管理 (Identity Management) 、 > 用户身份验证设置 (User Authentication Settings)、 > 禁用账户策略 (Disable Account Policy) ），您的账户可能会因身份验证成功的系统日志消息未中继到监控节点而被禁用。

思科 ISE 允许您利用外部身份存储密码验证内部用户。思科 ISE 可通过以下页面为内部用户提供选择密码身份存储的选项：管理 > 身份管理 > 身份 > 用户窗口。在用户 (Users) 窗口添加或编辑用户时，管理员可以从思科 ISE 外部身份源列表中选择身份存储。内部用户的默认密码身份存储为内部身份存储。Cisco Secure ACS 用户在从 Cisco Secure ACS 迁移至思科 ISE 过程中及之后将会保持相同的密码身份存储。

思科 ISE 支持以下密码类型的外部身份存储：

• Active Directory

• LDAP

• ODBC

• RADIUS 令牌服务器

• RSA SecurID 服务器

注	根据最新的设计，如果对外部 ID 存储区执行身份验证，则无法在授权策略中配置内部用户身份组名称。为了使用内部用户身份组进行授权，必须将身份验证策略配置为根据内部用户 ID 存储进行身份验证，并且必须在用户配置中选择密码类型（可以是内部或外部）。

Active Directory 支持使用某些协议对用户和设备进行身份验证、更改 Active Directory 用户密码等功能。下表列出了 Active Directory 支持的身份验证协议及相应功能。

思科 ISE 从 Active Directory 检索用户或设备属性和组以用于授权策略规则。这些属性可用于思科 ISE 策略并且决定了用户或设备的授权级别。思科 ISE 在身份验证成功后会检索用户和设备 Active Directory 属性，还可以为与身份验证无关的授权检索属性。

思科 ISE 可以使用外部身份存储区中的组来为用户或计算机分配权限；例如，将用户映射到发起人组。请注意 Active Directory 中的以下组成员身份限制：

• 策略规则条件可引用以下任意组：用户或计算机的主要组、用户或计算机作为直接成员的组，或者间接（嵌套）组。

• 不支持在用户或计算机的帐户域外的域本地组。

注	您可以使用 Active Directory 属性 (msRadiusFramedIPAddress) 的值作为 IP 地址。可将此 IP 地址发送给授权配置文件中的网络接入服务器 (NAS)。msRADIUSFramedIPAddress 属性仅支持 IPv4 地址。在进行用户身份验证时，为用户获取的 msRadiusFramedIPAddress 属性值将转换为 IP 地址格式。

系统按加入点检索和管理属性和组。这些属性和组将用于授权策略（方法是首先选择加入点，然后选择属性）。您无法按范围为授权定义属性或组，但可以对身份验证策略使用范围。当您在身份验证策略中使用范围时，可以通过一个加入点对用户进行身份验证，但要通过另一个具有用户帐户域信任路径的加入点检索属性和/或组。您可以使用身份验证域来确保一个范围中的任两个加入点在身份验证域中都没有任何重叠。

在多加入点配置的授权过程中，思科 ISE 会按照加入点在授权策略中列出的顺序搜索它们，直到找到特定用户才会停止。找到用户后，在加入点中分配给用户的属性和组将用于评估授权策略。

在多加入点配置中，如果对每个连接点的同一身份单独进行的身份验证成功，那么对身份源序列 “All_AD_Join_Points”进行的身份验证将失败。

在多加入点配置中，如果从每个加入点单独检索同一身份的 Active Directory 组成功，那么在下列情况下，Active Directory 组检索将失败：

• 不同的加入点用于身份验证和授权。

• 身份验证使用不带二进制比较的 EAP-TLS（证书身份验证配置文件 (Certificate Authentication Profile) 中的将客户端证书与身份存储区中的证书匹配 (Match Client Certificate Against Certificate In Identity Store) 被设置为从不 (Never)，并且在匹配的授权规则之前存在具有不同加入点的不匹配授权规则。

• 身份验证使用不带二进制比较的 EAP-TLS（证书身份验证配置文件 (Certificate Authentication Profile) 中的将客户端证书与身份存储区中的证书匹配 (Match Client Certificate Against Certificate In Identity Store) 被设置为从不 (Never)，并在 MAR 期间使用不同的加入点对终端启用机器访问限制 (MAR)，从当前匹配的授权规则中的加入点。

注	在多加入点配置中，对于每个加入点，Active Directory 组检索成功，但如果身份验证规则配置了包含“All_AD_Join_Points”的身份源序列，则检索失败。如果使用不同的加入点进行授权和身份验证，Active Directory 组检索也会失败。 请参阅 Microsoft 对可用 Active Directory 组的最大数量限制： http://technet.microsoft.com/en-us/library/active-directory-maximum-limits-scalability(v=WS.10).aspx

如果规则包含带有特殊字符（例如 /、!、@、\、#、$、%、^、&、*、(、)、_、+ 或 ~）的 Active Directory 组名称，则授权策略会失败。

如果管理员用户名包含 $ 字符，则通过 Active Directory 进行的管理员用户登录可能会失败。

思科 ISE 支持为使用 EAP-TLS 协议的用户和设备身份验证检索证书。Active Directory 上的用户或设备记录包括二进制数据类型的证书属性。此证书属性可以包含一个或多个证书。思科 ISE 将此属性标识为 userCertificate，并且不允许为此属性配置任何其他名称。思科 ISE 会检索此证书并将其用于执行二进制比较。

证书身份验证配置文件决定从哪个字段（例如 Subject Alternative Name (SAN) 或 Common Name 字段）获取用户名以在 Active Directory 中查找用于检索证书的用户。思科 ISE 检索到证书后，会将此证书与客户端证书进行二进制比较。当接收到多个证书时，思科 ISE 会对这些证书进行比较以确定相匹配的证书。找到匹配的证书后，则用户或设备身份验证通过。

当对用户进行身份验证或查询时，思科 ISE 会检查以下内容：

• MS-CHAP 和 PAP 身份验证会检查用户是否被禁用、锁定、过期或者登录超时，如果上述任一条件为真，则身份验证失败。

• EAP-TLS 身份验证会检查用户是否被禁用或锁定，如果满足上述任一条件，则身份验证失败。

从思科 ISE 版本 3.1 开始，思科 ISE 支持使用 Microsoft Entra ID 进行终端身份验证和授权。思科 ISE 版本 3.1 仅支持资源所有者密码凭证 (ROPC) 方法。除 ROPC 流外，思科 ISE 版本 3.2 还支持 EAP-TLS 和 TEAP 方法。

资源所有者密码凭证 (ROPC) 是一种 OAuth 2.0 授予类型，允许思科 ISE 使用基于云的身份提供程序在网络中执行授权和身份验证。

通过 ROPC 流，思科 ISE 使用基于云的身份源验证用户的凭证。ROPC 流支持明文身份验证协议。

思科 ISE 目前通过 ROPC 流支持 Microsoft Entra ID。

思科 ISE 支持带多域林的 Active Directory。在每个林中，思科 ISE 连接到单个域，但如果在思科 ISE 连接到的域与其他域之间建立信任关系，则可从 Active Directory 林中的其他域访问资源。

请参阅思科身份服务引擎的版本说明，以获取支持 Active Directory 服务的 Windows 服务器操作系统列表。

注	思科 ISE 不支持位于网络地址转换器背后并具有网络地址转换 (NAT) 地址的 Microsoft Active Directory 服务器。

思科 ISE 支持对 Active Directory 域执行多加入。思科 ISE 最多支持 50 个 Active Directory 加入。思科 ISE 能够连接没有双向信任或者具有零信任的多个 Active Directory 域。Active Directory 多域加入包括一组不同的 Active Directory 域，每个加入均有其自己的组、属性和授权策略。

您可以多次联接同一个域林，也即是说，如有必要，您可以在同一个域林中联接不止一个域。

思科 ISE 现在允许联接具有单向信任的域。此选项有助于绕过单向信任导致的权限问题。您可以联接以下任一受信任域，因此能够看见这两个域。

• 加入点：在思科 ISE 中，每个到 Active Directory 域的独立加入都叫作一个加入点。Active Directory 加入点是思科 ISE 身份库，可用于身份验证策略。它有用于属性和组的关联字典，这些属性和组可用于授权条件。

• 范围：一部分 Active Directory 加入点组合到一起就叫做范围。您可以在身份验证策略中使用范围代替单个加入点并用作身份验证结果。范围用于按照多个加入点对用户进行身份验证。如果您使用范围，就无需为每个加入点设置多个规则，可以创建只有单个策略的相同策略，节约了思科 ISE 用于处理请求的时间并且有助于提高性能。一个加入点可以用于多个范围中。范围可以包含在身份源序列中。因为范围不具有任何关联字典，所以您无法将范围用于授权策略条件中。

  当您执行思科 ISE 全新安装时，默认情况下并无范围。这称为无范围模式。当您添加范围时，思科 ISE 进入多范围模式。如果需要，您可以返回无范围模式。所有加入点将移至 Active Directory 文件夹。

  • Initial_Scope 是用于存储在无范围模式中添加的 Active Directory 加入点的隐式范围。当启用多范围模式时，所有 Active Directory 加入点将移至自动创建的 Initial_Scope。您可以重命名 Initial_Scope。

  • All_AD_Instances 是在 Active Directory 配置中不显示的一个内置伪范围。它只在策略和身份序列中作为身份验证结果显示。如果您要选择思科 ISE 中配置的所有 Active Directory 加入点，就可以选择此范围。

身份重写是一种定向思科 ISE 的高级功能，使其在传递至外部 Active Directory 系统之前处理其身份。您可以创建规则以将身份改为包含或排除域前缀和/或后缀或您所选择的其他附加标记的相应格式。

身份重写规则应用于传递至 Active Directory 之前从客户端接收的用于使用者搜索、身份验证和授权查询等操作的用户名或主机名。思科 ISE 将匹配条件标记，在发现第一个匹配项时，思科 ISE 停止处理策略并根据结果重写身份字符串。

在重写期间，以方括号" [] "括起来的所有内容（例如 [IDENTITY]）是变量，在评估端不会对其进行评估，但会添加与字符串中该位置匹配的字符串。没有方括号的所有内容在规则的评估端和重写端都会评估为固定字符串。

以下是身份重写的一些示例，假设用户输入的身份是 ACME\jdoe：

• 如果身份与 ACME\[IDENTITY] 匹配，则重写为 [IDENTITY]。

  结果是 jdoe。此规则指示思科 ISE 删掉所有用户名的 ACME 前缀。

• 如果身份与 ACME\[IDENTITY] 匹配，则重写为 [IDENTITY]@ACME.com。

  结果是 jdoe@ACME.com。此规则指示思科 ISE 将格式从前缀更改为后缀表示法，或从 NetBIOS 格式更改为 UPN 格式。

• 如果身份与 ACME\[IDENTITY] 匹配，则重写为 ACME2\[IDENTITY]。

  结果是 ACME2\jdoe。此规则指示思科 ISE 将具有特定前缀的所有用户名更改为使用备用前缀。

• 如果身份与 [ACME]\jdoe.USA 匹配，则重写为 [IDENTITY]@[ACME].com。

  结果是 jdoe\ACME.com。此规则指示思科 ISE 删掉点后面的领域（在本例中是国家/地区），替换为正确的领域。

• 如果身份与 E=[IDENTITY] 匹配，则重写为 [IDENTITY]。

  结果是 jdoe。如果身份来自证书，字段是邮件地址，而且 Active Directory 配置为按使用者搜索，则可以创建此示例规则。此规则指示思科 ISE 删除“E=”。

• 如果身份与 E=[EMAIL],[DN] 匹配，则重写为 [DN]。

  此规则会将证书使用者从 E=jdoe@acme.com, CN=jdoe, DC=acme, DC=com 转变为纯 DN, CN=jdoe, DC=acme, DC=com。这是一个示例规则，当从证书主题中获取身份，且 Active Directory 配置为按 DN 搜索用户时，可创建此规则。此规则指示思科 ISE 删掉邮件前缀并生成 DN。

以下是编写身份重写规则的一些常见错误：

• 如果身份与 [DOMAIN]\[IDENTITY] 匹配，则重写为 [IDENTITY]@DOMAIN.com。

  结果是 jdoe@DOMAIN.com。此规则在规则的重写端没有用方括号 [] 括起来的 [DOMAIN]。

• 如果身份与 DOMAIN\[IDENTITY] 匹配，则重写为 [IDENTITY]@[DOMAIN].com。

  同样，结果是 jdoe@DOMAIN.com。此规则在规则的评估端没有用方括号 [] 括起来的 [DOMAIN]。

身份重写规则始终应用在 Active Directory 加入点的情景中。即使由于身份验证策略而选择了范围，重写规则也适用于每个 Active Directory 加入点。如果使用的是 EAP-TLS，这些重写规则还适用于取自证书的身份。

某些身份类型包括域标记，如前缀或后缀。例如，在如 ACME\jdoe 这样的 NetBIOS 身份中，“ACME”是域标记前缀，同样在如 jdoe@acme.com 这样的 UPN 身份中，“acme.com”是域标记后缀。域前缀应该与组织中 Active Directory 域的 NetBIOS (NTLM) 名称匹配，域后缀应该与组织中 Active Directory 域的 DNS 名称或备选 UPN 后缀匹配。例如，jdoe@gmail.com 会视为没有域标记，因为 gmail.com 不是 Active Directory 域的 DNS 名称。

身份解析设置允许您配置重要设置来调整安全和性能的平衡，以符合您的 Active Directory 部署。您可以使用这些设置来调整没有域标记的用户名和主机名的身份验证。在思科 ISE 不知道用户域的情况下，可以将其配置为在所有身份验证域中搜索用户。即使在一个域中找到了用户，思科 ISE 仍将等待所有响应以确保不存在模糊身份。这可能需要较长时间，具体取决于域的数量、网络中的延迟、负载等。

思科 ISE 使用 SAM、CN 或这两者来识别用户。思科 ISE 将 sAMAccountName 属性用作默认属性。

如果环境需要，您可以配置思科 ISE 以使用 SAM、CN 或者这两者。使用 SAM 和 CN 时，SAMAccountName 属性的值不唯一，思科 ISE 还将比较 CN 属性值。

注	要修改此默认行为，请按照“配置 Active Directory 身份搜索的属性”部分所述更改“IdentityLookupField”标志的值。

对于 Windows Server 2012 R2，授予 Microsoft AD 用户对以下注册表项的完全控制权限：

• HKEY_CLASSES_ROOT\CLSID\{76A64158-CB41-11D1-8B02-00600806D9B6}

• HKLM\Software\Classes\Wow6432Node\CLSID\{76A64158-CB41-11D1-8B02-00600806D9B6}

在 Windows PowerShell 中使用以下命令来检查是否提供了对注册表项的完整权限：

• get-acl -path "Microsoft.PowerShell.Core\Registry::HKEY_CLASSES_ROOT\CLSID\{76A64158-CB41-11D1-8B02-00600806D9B6}" | format-list

• get-acl -path "hklm:\Software\Classes\Wow6432Node\CLSID\{76A64158-CB41-11D1-8B02-00600806D9B6}" | format-list

当 Microsoft AD 用户不在域管理员组，但在域用户组中时，还需要以下权限：

• 添加注册表项以允许思科 ISE 连接到域控制器。

• 在域控制器上使用 DCOM 的权限

• 设置访问 WMI Root 和 CIMv2 命名空间的权限

只有以下 Active Directory 版本要求具有这些权限：

• Windows 2003

• Windows 2003R2

• Windows 2008

• Windows 2008 R2

• Windows 2012

• Windows 2012 R2

• Windows 2016

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\CLSID\{76A64158-CB41-11D1-8B02-00600806D9B6}]
"AppID"="{76A64158-CB41-11D1-8B02-00600806D9B6}"

[HKEY_CLASSES_ROOT\AppID\{76A64158-CB41-11D1-8B02-00600806D9B6}]
"DllSurrogate"="  "

[HKEY_CLASSES_ROOT\Wow6432Node\AppID\{76A64158-CB41-11D1-8B02-00600806D9B6}]
"DllSurrogate"="  "