Geek School Learning Windows 7 - Ressurstilgang

I denne installasjonen av Geek School, tar vi en titt på Folder Virtualization, SIDs og Tillatelse, samt krypteringsfilsystemet.

Husk å sjekke ut de forrige artiklene i denne Geek School-serien på Windows 7:

Introduserer How-To Geek School
Oppgraderinger og overføringer
Konfigurere enheter
Administrere disker
Administrere applikasjoner
Administrere Internet Explorer
IP-adressering grunnleggende
Nettverk
Trådløst nettverk
Windows brannmur
Fjernadministrasjon
Fjerntilgang
Overvåking, ytelse og vedlikehold av Windows

Og hold deg innstilt for resten av serien hele denne uken.

Mapp virtualisering

Windows 7 introduserte begrepet biblioteker som tillot at du har en sentralisert plassering som du kan se ressurser på andre steder på datamaskinen din. Mer spesifikt har biblioteksfunksjonen tillat deg å legge til mapper fra hvor som helst på datamaskinen din til en av fire standardbiblioteker, dokumenter, musikk, videoer og bilder, som er lett tilgjengelige fra navigasjonsruten i Windows Utforsker.

Det er to viktige ting å merke seg om bibliotekets funksjon:

Når du legger til en mappe i et bibliotek, flyttes ikke mappen i seg selv, men en lenke blir opprettet til mappenes plassering.
For å kunne legge til en nettverksandel til bibliotekene dine må den være tilgjengelig offline, men du kan også bruke et arbeid rundt med symbolske linker.

For å legge til en mappe i et bibliotek, bare hodet inn i biblioteket og klikk på stedslinken.

Klikk deretter på add-knappen.

Finn nå mappen du vil inkludere i biblioteket, og klikk på Inkluder mappeknappen.

Det er alt der er til det.

Sikkerhetsidentifikatoren

Windows-operativsystemet bruker SID-er til å representere alle sikkerhetsprinsipper. SIDer er bare strenger med variabel lengde av alfanumeriske tegn som representerer maskiner, brukere og grupper. SID legges til ACL (Access Control Lists) hver gang du gir en bruker eller gruppe tillatelse til en fil eller mappe. Bak kulissene lagres SID-er på samme måte som alle andre dataobjekter er: i binære. Når du ser et SID i Windows, vises det imidlertid med en mer lesbar syntaks. Det er ikke ofte at du vil se noen form for SID i Windows; Det vanligste scenariet er når du gir noen tillatelse til en ressurs, og deretter slett brukerkontoen sin. SID vil da dukke opp i ACL. Så kan vi se på det typiske formatet der du vil se SIDer i Windows.

Notasjonen som du vil se tar en viss syntaks. Nedenfor er de forskjellige delene av et SID.

Et 'S' prefiks
Strukturrevisjonsnummer
En 48-biters identifiseringsmyndighetsverdi
Et variabelt antall 32-biters undermyndighet eller relativ identifiseringsverdier (RID)

Ved å bruke mitt SID i bildet under, vil vi bryte opp de forskjellige seksjonene for å få en bedre forståelse.

SID-strukturen:

'S' - Den første komponenten av et SID er alltid en 'S'. Dette er prefixed til alle SIDs og er der for å informere Windows om at det som følger er et SID.
'1' - Den andre komponenten i et SID er revisjonsnummeret til SID-spesifikasjonen. Hvis SID-spesifikasjonen skulle endres, ville det gi bakoverkompatibilitet. I Windows 7 og Server 2008 R2 er SID-spesifikasjonen fortsatt i den første revisjonen.
'5' - Den tredje delen av et SID kalles Identifier Authority. Dette definerer i hvilket omfang SID ble generert. Mulige verdier for denne delen av SID kan være:

0 - Null Authority

1 - Verdens myndighet

2 - Lokal myndighet

3 - Opphavsmyndighet

4 - Ikke-unik myndighet

5 - NT Authority

'21' - Den fjerde komponenten er undermyndighet 1. Verdien '21' brukes i det fjerde feltet for å angi at undermyndighetene som følger, identifiserer den lokale maskinen eller domene.
'1206375286-251249764-2214032401' - Disse kalles undermyndighet 2,3 og 4 henholdsvis. I vårt eksempel brukes dette til å identifisere den lokale maskinen, men kan også være identifikatoren for et domene.
'1000' - Undermyndighet 5 er den siste komponenten i vårt SID og kalles RID (Relativ Identifier). RID er i forhold til hvert sikkerhetsprinsipp: vær oppmerksom på at alle brukerdefinerte objekter, de som ikke sendes av Microsoft, vil ha et RID på 1000 eller høyere.

Sikkerhetsprinsipper

Et sikkerhetsprinsipp er alt som har et SID knyttet til det. Disse kan være brukere, datamaskiner og like grupper. Sikkerhetsprinsipper kan være lokale eller være i domenekonteksten. Du håndterer lokale sikkerhetsprinsipper ved å klikke på Lokale brukere og grupper, under datamaskinhåndtering. For å komme dit, høyreklikk på datask snarveien i startmenyen og velg administrere.

For å legge til et nytt brukssikkerhetsprinsipp, kan du gå til Brukere-mappen og høyreklikke og velge Ny bruker.

Hvis du dobbeltklikker på en bruker, kan du legge dem til en sikkerhetsgruppe på fanen Medlem av.

For å opprette en ny sikkerhetsgruppe, naviger til mappen Grupper på høyre side. Høyreklikk på den hvite plassen og velg Ny gruppe.

Del Tillatelser og NTFS Tillatelse

I Windows er det to typer fil- og mappegodkjenninger. For det første er det Del Tillatelsene. For det andre er det NTFS-tillatelser, som også kalles sikkerhetsstillatelser. Sikring av delte mapper utføres vanligvis med en kombinasjon av Del og NTFS-tillatelser. Siden dette er tilfelle, er det viktig å huske at den mest restriktive tillatelsen alltid gjelder. Hvis for eksempel aksje-tillatelsen gir alle sikkerhetsprinsippene, leser tillatelse, men NTFS-tillatelsen tillater brukere å gjøre en endring i filen, vil aksje tillatelsen ha forrang, og brukerne har ikke lov til å gjøre endringer. Når du angir tillatelsene, kontrollerer LSASS (Local Security Authority) tilgang til ressursen. Når du logger på, får du et tilgangstoken med ditt SID på den. Når du går for å få tilgang til ressursen, sammenligner LSASS SID som du har lagt til i ACL (Access Control List). Hvis SID er på ACL, bestemmer det om å tillate eller nekte tilgang. Uansett hvilke tillatelser du bruker, er det forskjeller, så la oss ta en titt for å få en bedre forståelse av når vi skal bruke det.

Del Tillatelser:

Bare gjelder for brukere som får tilgang til ressursen over nettverket. De gjelder ikke hvis du logger deg på lokalt, for eksempel gjennom terminaltjenester.
Den gjelder for alle filer og mapper i den delte ressursen. Hvis du vil gi en mer granulert form for restriksjonssystem, bør du bruke NTFS-tillatelse i tillegg til delte tillatelser
Hvis du har noen formaterte FAT- eller FAT32-volumer, vil dette være den eneste form for begrensning som er tilgjengelig for deg, da NTFS-tillatelser ikke er tilgjengelige på disse filsystemene.

NTFS Tillatelser:

Den eneste begrensningen på NTFS-tillatelser er at de bare kan settes på et volum som er formatert til NTFS-filsystemet
Husk at NTFS-tillatelser er kumulative. Det betyr at en brukers effektive tillatelser er resultatet av å kombinere brukerens tildelte tillatelser og tillatelsene til noen grupper brukeren tilhører.

The New Share Tillatelser

Windows 7 kjøpte sammen en ny "enkel" delteknikk. Alternativene endret fra Les, Endre og Full kontroll til Les og Les / Skriv. Ideen var en del av hele hjemmegruppens mentalitet og gjør det enkelt å dele en mappe for ikke-datamaskinerte folk. Dette gjøres via kontekstmenyen og deler enkelt med hjemmegruppen din.

Hvis du vil dele med noen som ikke er i hjemmegruppen, kan du alltid velge alternativet "Spesifikt folk ...". Som ville gi opp en mer "utførlig" dialog der du kunne spesifisere en bruker eller gruppe.

Det er bare to tillatelser, som tidligere nevnt. Sammen tilbyr de et helt eller ingenting beskyttelsesprogram for mappene og filene dine.

Lese Tillatelse er "Look, Do not Touch" alternativet. Mottakere kan åpne, men ikke endre eller slette en fil.

Les Skriv er alternativet "gjør noe". Mottakere kan åpne, endre eller slette en fil.

Gammel skole Tillatelse

Den gamle delingsdialogen hadde flere alternativer, for eksempel muligheten til å dele mappen under et annet alias. Det tillot oss å begrense antall samtidige tilkoblinger samt konfigurere caching. Ingen av denne funksjonaliteten er tapt i Windows 7, men er heller skjult under et alternativ kalt "Avansert deling". Hvis du høyreklikker på en mappe og går til egenskapene, kan du finne disse innstillingene "Advanced Sharing" under kategorien Deling.

Hvis du klikker på "Avansert deling" -knappen, som krever lokal administrator legitimasjon, kan du konfigurere alle innstillingene du var kjent med i tidligere versjoner av Windows.

Hvis du klikker på tillatelsesknappen, vil du bli presentert med de 3 innstillingene som vi alle er kjent med.

Lese Tillatelse tillater deg å vise og åpne filer og underkataloger samt å utføre programmer. Men det tillater ikke at noen endringer gjøres.
endre Tillatelse tillater deg å gjøre alt det Lese Tillatelse tillater, og det legger også til muligheten til å legge til filer og underkataloger, slette undermapper og endre data i filene.
Full kontroll er "gjør noe" av de klassiske tillatelsene, da det gjør det mulig for deg å gjøre alle de forrige tillatelsene. I tillegg gir den deg den avanserte endrede NTFS-tillatelsen, men dette gjelder bare for NTFS-mapper

NTFS-tillatelser

NTFS-tillatelser tillater veldig granulær kontroll over filene og mappene dine. Med det sagt kan mengden av granularitet være skremmende for en nykommer. Du kan også angi NTFS-tillatelse på per filbasis samt per mappe-basis. Hvis du vil angi NTFS-tillatelse til en fil, bør du høyreklikke og gå til filens egenskaper, og deretter gå til sikkerhetsfanen.

Hvis du vil redigere NTFS-tillatelsene for en bruker eller gruppe, klikker du på redigeringsknappen.

Som du kanskje ser, er det ganske mange NTFS-tillatelser, så la oss slå dem ned. Først vil vi se på NTFS-tillatelsene som du kan angi på en fil.

Full kontroll lar deg lese, skrive, endre, utføre, endre attributter, tillatelser og ta eierskap av filen.

endre lar deg lese, skrive, endre, utføre og endre filens attributter.

Les og utfør vil tillate deg å vise filens data, attributter, eier og tillatelser, og kjøre filen hvis det er et program.

Lese vil tillate deg å åpne filen, se dens attributter, eier og tillatelser.

Skrive vil tillate deg å skrive data til filen, legge til filen, og lese eller endre attributter.

NTFS-tillatelser for mapper har litt forskjellige alternativer, så vi kan se på dem.

Full kontroll vil tillate deg å lese, skrive, endre og utføre filer i mappen, endre attributter, tillatelser og ta eierskap av mappen eller filene i.

endre vil tillate deg å lese, skrive, endre og utføre filer i mappen, og endre attributter til mappen eller filene i.

Les og utfør vil tillate deg å vise mappens innhold og vise data, attributter, eier og tillatelser for filer i mappen, og kjør filer i mappen.

Liste Folder Innhold vil tillate deg å vise mappens innhold og vise data, attributter, eier og tillatelser for filer i mappen, og kjør filer i mappen

Lese vil tillate deg å vise filens data, attributter, eier og tillatelser.

Skrive vil tillate deg å skrive data til filen, legge til filen, og lese eller endre attributter.

Sammendrag

Sammendrag, brukernavn og grupper er representasjoner av en alfanumerisk streng kalt SID (sikkerhetsidentifikator). Del og NTFS-tillatelser er knyttet til disse SIDene. Del Tillatelser kontrolleres kun av LSSAS når de blir åpnet over nettverket, mens NTFS Tillatelser er kombinert med Del Tillatelser for å tillate et mer granulert sikkerhetsnivå for at ressurser blir tilgjengelige over nettverket, så vel som lokalt.

Å få tilgang til en delt ressurs

Så nå som vi har lært om de to metodene vi kan bruke til å dele innhold på våre PCer, hvordan går det faktisk om å få tilgang til det via nettverket? Det er veldig enkelt. Skriv bare inn følgende i navigasjonsfeltet.

\\ datamaskin \ navn på delt ressurs

Merk: Du må selvsagt erstatte datamaskinnavn for navnet på PCen som serverer del og sharenavn for navnet på delen.

Dette er flott for en gang av forbindelser, men hva med et større bedriftsmiljø? Sikkert må du ikke lære brukerne hvordan du kobler til en nettverksressurs ved hjelp av denne metoden. For å komme seg rundt dette, vil du kartlegge en nettverksstasjon for hver bruker, på denne måten kan du råde dem til å lagre dokumentene sine på "H" -disken, i stedet for å forklare hvordan du kobler til en del. For å kartlegge en stasjon, åpne Computer og klikk på "Map Network Drive" -knappen.

Skriv deretter bare inn UNC-banen til delen.

Du lurer sikkert på om du må gjøre det på alle PCer, og heldigvis er svaret nei. I stedet kan du skrive et batchskript for å automatisk kartlegge stasjonene for brukerne ved pålogging og distribuere det via Gruppepolicy.

Hvis vi dissekerer kommandoen:

Vi bruker nettbruk kommandoen for å kartlegge stasjonen.
Vi bruker * å betegne at vi vil bruke neste tilgjengelige stasjonsbokstav.
Endelig vi spesifiser aksjen Vi ønsker å kartlegge stasjonen til. Legg merke til at vi brukte sitater fordi UNC-banen inneholder mellomrom.

Kryptere filer ved hjelp av krypteringsfilsystemet

Windows inkluderer muligheten til å kryptere filer på et NTFS-volum. Dette betyr at bare du vil kunne dekryptere filene og vise dem. For å kryptere en fil, høyreklikk bare på den og velg egenskaper fra kontekstmenyen.

Klikk deretter på avansert.

Merk av for krypteringsinnholdet for å sikre data, og klikk deretter OK.

Gå nå og bruk innstillingene.

Vi trenger bare å kryptere filen, men du har også mulighet til å kryptere den overordnede mappen også.

Vær oppmerksom på at når filen er kryptert, blir den grønn.

Du vil nå legge merke til at bare du vil kunne åpne filen og at andre brukere på samme PC ikke vil kunne. Krypteringsprosessen bruker offentlig nøkkelkryptering, så hold krypteringsnøklene dine trygge. Hvis du mister dem, er filen borte og det er ingen måte å gjenopprette den.

Hjemmelekser

Lær om tillatelse arv og effektive tillatelser.
Les dette Microsoft-dokumentet.
Lær hvorfor du vil bruke BranchCache.
Lær hvordan du deler skrivere og hvorfor du vil.