Hvordan forstår de forvirrende Windows 7 Fil / Del Tillatelser

Har du noen gang prøvd å finne ut alle tillatelsene i Windows? Det er delbehörigheter, NTFS-tillatelser, tilgangskontrolllister og mer. Slik fungerer de sammen.

Sikkerhetsidentifikatoren

Windows-operativsystemene bruker SID-er til å representere alle sikkerhetsprinsipper. SIDer er bare strenger med variabel lengde av alfanumeriske tegn som representerer maskiner, brukere og grupper. SID legges til ACL (Access Control Lists) hver gang du gir en bruker eller gruppe tillatelse til en fil eller mappe. Bak scenen lagres SIDene på samme måte som alle andre dataobjekter, i binære. Men når du ser et SID i Windows, blir det vist med en mer lesbar syntaks. Det er ikke ofte at du vil se noen form for SID i Windows, det vanligste scenariet er når du gir noen tillatelse til en ressurs, og deretter slettes deres brukerkonto, så vises den som et SID i ACL. Så kan vi se på det typiske formatet der du vil se SIDer i Windows.

Notasjonen som du vil se tar en viss syntaks, nedenfor er de forskjellige delene av et SID i denne notasjonen.

1. Et 'S' prefiks
2. Strukturrevisjonsnummer
3. En 48-biters identifiseringsmyndighetsverdi
4. Et variabelt antall 32-biters undermyndighet eller relativ identifiseringsverdier (RID)

Ved å bruke mitt SID i bildet under, vil vi bryte opp de forskjellige seksjonene for å få en bedre forståelse.

SID-strukturen:

'S' - Den første komponenten av et SID er alltid en 'S'. Dette er prefixed til alle SIDs og er der for å informere Windows om at det som følger er et SID.
'1' - Den andre komponenten til et SID er revisjonsnummeret til SID-spesifikasjonen, hvis SID-spesifikasjonen skulle endres, vil den gi bakoverkompatibilitet. I Windows 7 og Server 2008 R2 er SID-spesifikasjonen fortsatt i den første revisjonen.
'5' - Den tredje delen av et SID kalles Identifier Authority. Dette definerer i hvilket omfang SID ble generert. Mulige verdier for denne delen av SID kan være:

1. 0 - Null Authority
2. 1 - Verdens myndighet
3. 2 - Lokal myndighet
4. 3 - Opphavsmyndighet
5. 4 - Ikke-unik myndighet
6. 5 - NT Authority

'21' - Den fjerde komponenten er undermyndighet 1, verdien '21' brukes i det forrige feltet for å angi at undermyndighetene som følger, identifiserer den lokale maskinen eller domene.
'1206375286-251249764-2214032401' - Disse kalles undermyndighet 2,3 og 4 henholdsvis. I vårt eksempel brukes dette til å identifisere den lokale maskinen, men kan også være identifikatoren for et domene.
'1000' - Undermyndighet 5 er den siste komponenten i vårt SID og heter RID (Relativ Identifier), RID er i forhold til hvert sikkerhetsprinsipp. Vær oppmerksom på at alle brukerdefinerte objekter, de som ikke sendes av Microsoft, vil ha en RID 1000 eller høyere.

Sikkerhetsprinsipper

Et sikkerhetsprinsipp er alt som har et SID knyttet til det, det kan være brukere, datamaskiner og til og med grupper. Sikkerhetsprinsipper kan være lokale eller være i domenekonteksten. Du håndterer lokale sikkerhetsprinsipper ved å klikke på Lokale brukere og grupper, under datamaskinhåndtering. For å komme dit, høyreklikk på datask snarveien i startmenyen og velg administrere.

For å legge til et nytt brukersikkerhetsprinsipp kan du gå til brukerens mappe og høyreklikk og velg ny bruker.

Hvis du dobbeltklikker på en bruker, kan du legge dem til en sikkerhetsgruppe på fanen Medlem av.

For å opprette en ny sikkerhetsgruppe, naviger til mappen Grupper på høyre side. Høyreklikk på den hvite plassen og velg ny gruppe.

Del Tillatelser og NTFS Tillatelse

I Windows er det to typer fil- og mappegodkjenninger, for det første er det Del Tillatelser, og for det andre er det NTFS Tillatelser også kalt Sikkerhetsstillatelser. Vær oppmerksom på at når du deler en mappe som standard, er "Alle" -gruppen gitt lese-tillatelsen. Sikkerhet på mapper gjøres vanligvis med en kombinasjon av Share og NTFS-tillatelse dersom dette er tilfelle, er det viktig å huske at det mest restriktive alltid gjelder, for eksempel hvis delrettelsen er satt til Alle = Les (som er standard) men NTFS-tillatelsen tillater brukere å gjøre endringer i filen, vil Del Tillatelsen foretrekke, og brukerne får ikke lov til å gjøre endringer. Når du angir tillatelsene, kontrollerer LSASS (Local Security Authority) tilgang til ressursen. Når du logger deg, får du et tilgangstoken med ditt SID på det, når du går for å få tilgang til ressursen, sammenligner LSASS SID som du har lagt til i ACL (Access Control List), og hvis SID er på ACL, bestemmer det om tillat eller nekt tilgang. Uansett hvilke tillatelser du bruker, er det forskjeller, slik at vi kan ta en titt for å få bedre forståelse av når vi skal bruke det.

Del Tillatelser:

1. Bare gjelder for brukere som får tilgang til ressursen over nettverket. De gjelder ikke hvis du logger deg på lokalt, for eksempel gjennom terminaltjenester.
2. Den gjelder for alle filer og mapper i den delte ressursen. Hvis du vil gi en mer granulert form for restriksjonssystem, bør du bruke NTFS-tillatelse i tillegg til delte tillatelser
3. Hvis du har noen formaterte FAT- eller FAT32-volumer, vil dette være den eneste form for begrensning som er tilgjengelig for deg, da NTFS-tillatelser ikke er tilgjengelige på disse filsystemene.

NTFS Tillatelser:

1. Den eneste begrensningen på NTFS-tillatelser er at de bare kan settes på et volum som er formatert til NTFS-filsystemet
2. Husk at NTFS er kumulative, noe som betyr at brukerens effektive tillatelser skyldes å kombinere brukerens tildelte tillatelser og tillatelsene til noen grupper brukeren tilhører.

The New Share Tillatelser

Windows 7 kjøpte sammen en ny "enkel" delteknikk. Alternativene endret fra Les, Endre og Full kontroll til. Les og les / skriv. Ideen var en del av hele hjemmegruppens mentalitet og gjør det enkelt å dele en mappe for ikke-datamaskinerte mennesker. Dette gjøres via kontekstmenyen og deles enkelt med hjemmegruppen din.

Hvis du ønsket å dele med noen som ikke er i hjemmegruppen, kan du alltid velge alternativet "Spesifikt folk ...". Som ville bringe opp en mer "utførlig" dialog. Der du kan spesifisere en bestemt bruker eller gruppe.

Det er bare to tillatelser som tidligere nevnt, og de tilbyr sammen et helt eller ingenting beskyttelsesprogram for mappene og filene dine.

1. Lese Tillatelse er "Look, Do not Touch" alternativet. Mottakere kan åpne, men ikke endre eller slette en fil.
2. Les Skriv er alternativet "gjør noe". Mottakere kan åpne, endre eller slette en fil.

The Old School Way

Den gamle delingsdialogen hadde flere alternativer og ga oss muligheten til å dele mappen under et annet alias, det tillot oss å begrense antall samtidige tilkoblinger, samt konfigurere caching. Ingen av denne funksjonaliteten går tapt i Windows 7, men er gjemt under et alternativ kalt "Avansert deling". Hvis du høyreklikker på en mappe og går til egenskapene, kan du finne disse innstillingene "Advanced Sharing" under kategorien Deling.

Hvis du klikker på "Avansert deling" -knappen, som krever lokal administrator legitimasjon, kan du konfigurere alle innstillingene du var kjent med i tidligere versjoner av Windows.

Hvis du klikker på tillatelsesknappen, blir du presentert med de 3 innstillingene som vi alle er kjent med.

1. Lese Tillatelse tillater deg å vise og åpne filer og underkataloger samt å utføre programmer. Men det tillater ikke at noen endringer gjøres.
2. endre Tillatelse tillater deg å gjøre alt det Lese Tillatelse tillater det også legge til muligheten til å legge til filer og underkataloger, slette undermapper og endre data i filene.
3. Full kontroll er "gjør noe" av de klassiske tillatelsene, da det gjør det mulig for deg å gjøre alle de forrige tillatelsene. I tillegg gir den deg den avanserte endrede NTFS-tillatelsen, dette gjelder bare for NTFS-mapper

NTFS-tillatelser

NTFS-tillatelse tillater veldig granulær kontroll over filene og mappene dine. Med det sagt kan mengden av granularitet være skremmende for en nykommer. Du kan også angi NTFS-tillatelse på per filbasis samt per mappe-basis. Hvis du vil angi NTFS-tillatelse til en fil, bør du høyreklikke og gå til filegenskapene hvor du må gå til sikkerhetsfanen.

Hvis du vil redigere NTFS-tillatelsene for en bruker eller gruppe, klikker du på redigeringsknappen.

Som du kanskje ser er det ganske mange NTFS-tillatelser slik at vi kan bryte dem ned. Først vil vi se på NTFS-tillatelsene som du kan angi på en fil.

1. Full kontroll lar deg lese, skrive, endre, utføre, endre attributter, tillatelser og ta eierskap av filen.
2. endre lar deg lese, skrive, endre, utføre og endre filens attributter.
3. Les og utfør vil tillate deg å vise filens data, attributter, eier og tillatelser, og kjøre filen hvis det er et program.
4. Lese vil tillate deg å åpne filen, se dens attributter, eier og tillatelser.
5. Skrive vil tillate deg å skrive data til filen, legge til filen, og lese eller endre attributter.

NTFS-tillatelser for mapper har litt forskjellige alternativer, slik at vi kan se på dem.

1. Full kontroll lar deg lese, skrive, endre og utføre filer i mappen, endre attributter, tillatelser og ta eierskap til mappen eller filene i.
2. endre lar deg lese, skrive, endre og utføre filer i mappen, og endre attributter til mappen eller filene i.
3. Les og utfør vil tillate deg å vise mappens innhold og vise data, attributter, eier og tillatelser for filer i mappen, og kjør filer i mappen.
4. Liste Folder Innhold vil tillate deg å vise mappens innhold og vise data, attributter, eier og tillatelser for filer i mappen.
5. Lese vil tillate deg å vise filens data, attributter, eier og tillatelser.
6. Skrive vil tillate deg å skrive data til filen, legge til filen, og lese eller endre attributter.

I Microsofts dokumentasjon står det også at "List Folder Contents" lar deg kjøre filer i mappen, men det må du fortsatt aktivere "Read & Execute" for å gjøre det. Det er en veldig forvirrende dokumentert tillatelse.

Sammendrag

I sammendraget er brukernavn og grupper representasjoner av en alfanumerisk streng kalt SID (sikkerhetsidentifikator), Del og NTFS-tillatelser er knyttet til disse SIDene. Del Tillatelser kontrolleres kun av LSSAS når de blir åpnet over nettverket, mens NTFS-tillatelser bare er gyldige på de lokale maskinene. Jeg håper at du alle har en god forståelse for hvordan fil- og mappesikkerhet i Windows 7 er implementert. Hvis du har spørsmål, kan du ikke høres ut i kommentarene.