7Jul

Slik forstår du de forvirrende Windows 7 fil- / delmottakene

Har du noen gang prøvd å finne ut alle tillatelsene i Windows? Det er delbehörigheter, NTFS-tillatelser, tilgangskontrolllister og mer. Slik fungerer de sammen.

Sikkerhetsidentifikatoren

Windows-operativsystemene bruker SID-er til å representere alle sikkerhetsprinsipper. SIDer er bare strenger med variabel lengde med alfanumeriske tegn som representerer maskiner, brukere og grupper. SID legges til ACL( Access Control Lists) hver gang du gir en bruker eller gruppe tillatelse til en fil eller mappe. Bak scenen lagres SIDene på samme måte som alle andre dataobjekter, i binære. Men når du ser et SID i Windows, vises det med en mer lesbar syntaks. Det er ikke ofte at du vil se noen form for SID i Windows, det vanligste scenariet er når du gir noen tillatelse til en ressurs, og deretter slettes deres brukerkonto, så vises den som et SID i ACL.Så kan vi se på det typiske formatet der du vil se SIDer i Windows.

Notatet som du vil se tar en viss syntaks, nedenfor er de forskjellige delene av et SID i denne notasjonen.

  1. Prefix
  2. Strukturrevisjonnummer
  3. En 48-biters identifiserings autorisasjonsverdi
  4. Et variabelt antall 32-biters sub-autorisasjon eller relative identifiseringsverdier

Ved å bruke mitt SID i bildet nedenfor, vil vi bryte opp de forskjelligeseksjoner for å få bedre forståelse.

SID-strukturen:

'S' - Den første komponenten av et SID er alltid en 'S'.Dette er prefixed til alle SIDs og er der for å informere Windows om at det som følger er et SID.
'1' - Den andre komponenten av et SID er revisjonsnummeret til SID-spesifikasjonen, hvis SID-spesifikasjonen skulle endre den, ville det gi bakoverkompatibilitet. I Windows 7 og Server 2008 R2 er SID-spesifikasjonen fortsatt i den første revisjonen.
'5' - Den tredje delen av et SID kalles Identifier Authority. Dette definerer i hvilket omfang SID ble generert. Mulige verdier for disse delene av SID kan være:

  1. 0 - Null Authority
  2. 1 - Verdens myndighet
  3. 2 - Lokal myndighet
  4. 3 - Opprettelsesmyndighet
  5. 4 - Ikke-unik myndighet
  6. 5 - NT-autorisasjon

'21' - DenFortsatt komponent er undermyndighet 1, verdien "21" brukes i det forrige feltet for å angi at undermyndighetene som følger, identifiserer lokalmaskinen eller domenet.
'1206375286-251249764-2214032401' - Disse kalles undermyndighet 2,3 og 4 henholdsvis. I vårt eksempel brukes dette til å identifisere den lokale maskinen, men kan også være identifikatoren for et domene.
'1000' - Delmyndighet 5 er den siste komponenten i vårt SID og kalles RID( Relativ Identifier), RID er i forhold til hvert sikkerhetsprinsipp. Vær oppmerksom på at alle brukerdefinerte objekter, de som ikke sendesav Microsoft vil ha en RID på 1000 eller høyere.

Sikkerhetsprinsipper

Et sikkerhetsprinsipp er alt som har et SID knyttet til det, det kan være brukere, datamaskiner og til og med grupper. Sikkerhetsprinsipper kan være lokale eller være i domenekonteksten. Du håndterer lokale sikkerhetsprinsipper ved hjelp av Local Users og Groups snap-in, under datamaskinhåndtering. For å komme dit, høyreklikk på datask snarveien i startmenyen og velg administrere.

Hvis du vil legge til et nytt brukersikkerhetsprinsipp, kan du gå til brukerens mappe og høyreklikk og velg ny bruker.

Hvis du dobbeltklikker på en bruker, kan du legge dem til en sikkerhetsgruppe på fanen Medlem av.

For å opprette en ny sikkerhetsgruppe, naviger til mappen Grupper på høyre side. Høyreklikk på den hvite plassen og velg ny gruppe.

Del Tillatelser og NTFS Tillatelse

I Windows er det to typer fil- og mappegodkjenninger, for det første er det Del Tillatelser, og for det andre er det NTFS Tillatelser også kalt Sikkerhetsstillatelser. Legg merke til at når du deler en mappe som standard, er "Alle" -gruppen gitt lesetillatelsen. Sikkerhet på mapper utføres vanligvis med en kombinasjon av Del og NTFS-tillatelse dersom dette er tilfelle, er det viktig å huske at det mest restriktive gjelder alltid, for eksempel hvis delrettelsen er satt til Alle = Les( som er standard)men NTFS-tillatelsen tillater brukere å gjøre endringer i filen, vil Del Tillatelsen foretrekke, og brukerne får ikke lov til å gjøre endringer. Når du angir tillatelsene, kontrollerer LSASS( Local Security Authority) tilgang til ressursen. Når du logger på, får du et tilgangstoken med ditt SID på det, når du går for å få tilgang til ressursen, sammenligner LSASS SID som du har lagt til i ACL( Access Control List), og hvis SID er på ACL, bestemmer det omtillat eller nekt tilgang. Uansett hvilke tillatelser du bruker, er det forskjeller, slik at vi kan ta en titt for å få en bedre forståelse av når vi skal bruke det.

Del Tillatelser:

  1. Gjelder kun for brukere som får tilgang til ressursen over nettverket. De gjelder ikke hvis du logger deg på lokalt, for eksempel gjennom terminaltjenester.
  2. Den gjelder for alle filer og mapper i den delte ressursen. Hvis du vil gi en mer granulert form for restriksjonssystem, bør du bruke NTFS-tillatelse i tillegg til delte tillatelser
  3. Hvis du har noen formaterte FAT eller FAT32-volumer, vil dette være den eneste form for begrensning tilgjengelig for deg, da NTFS-tillatelser ikke ertilgjengelig på disse filsystemene.

NTFS Tillatelser:

  1. Den eneste begrensningen på NTFS-tillatelser er at de bare kan settes på et volum som er formatert til NTFS-filsystemet
  2. Husk at NTFS er kumulative, noe som betyr at brukerens effektive tillatelser skyldes å kombinere brukerens tilordnedetillatelser og tillatelsene til noen grupper brukeren tilhører.

The New Share Tillatelser

Windows 7 kjøpt sammen med en ny "enkel" delteknikk. Alternativene endret fra Les, Endre og Full kontroll til. Les og les / skriv. Ideen var en del av hele hjemmegruppens mentalitet og gjør det enkelt å dele en mappe for ikke-datamaskinerte mennesker. Dette gjøres via kontekstmenyen og deler enkelt med hjemmegruppen din.

Hvis du ønsket å dele med noen som ikke er i hjemmegruppen, kan du alltid velge alternativet "Spesifikt folk. ..".Som ville bringe opp en mer "utførlig" dialog. Der du kan spesifisere en bestemt bruker eller gruppe.

Det er bare to tillatelser som tidligere nevnt, og de tilbyr sammen et helt eller ingenting beskyttelsesprogram for mappene og filene dine.

  1. Les -tillatelsen er "se, ikke rør" -alternativet. Mottakere kan åpne, men ikke endre eller slette en fil.
  2. Les / skriv er alternativet "gjør noe".Mottakere kan åpne, endre eller slette en fil.

Den gamle skoleveien

Den gamle delingsdialogen hadde flere alternativer og ga oss muligheten til å dele mappen under et annet alias, det tillot oss å begrense antallet samtidige tilkoblinger samt konfigurere caching. Ingen av denne funksjonaliteten går tapt i Windows 7, men er gjemt under et alternativ kalt "Avansert deling".Hvis du høyreklikker på en mappe og går til sine egenskaper, kan du finne disse innstillingene "Advanced Sharing" under kategorien Deling.

Hvis du klikker på "Avansert deling" -knappen, som krever lokal administratorlegitimasjon, kan du konfigurere alle innstillingene du var kjent med i tidligere versjoner av Windows.

Hvis du klikker på tillatelsesknappen, vil du bli presentert med de 3 innstillingene som vi alle er kjent med.

  1. Les -tillatelse, slik at du kan se og åpne filer og underkataloger samt utføre programmer. Men det tillater ikke at noen endringer gjøres.
  2. Endre -tillatelse lar deg gjøre alt som Les -tillatelse tillater, det legger også til muligheten til å legge til filer og underkataloger, slette undermapper og endre data i filene.
  3. Full Control er "gjør noe" av de klassiske tillatelsene, da det gjør det mulig for deg å gjøre alle de forrige tillatelsene. I tillegg gir den deg den avanserte NTFS-tillatelsen, dette gjelder bare for NTFS-mapper

NTFS-tillatelser

NTFS-tillatelse tillater veldig granulær kontroll over filene og mappene dine. Med det sagt kan mengden av granularitet være skremmende for en nykommer. Du kan også angi NTFS-tillatelse på per filbasis samt per mappegrunnlag. Hvis du vil angi NTFS-tillatelse til en fil, bør du høyreklikke og gå til fileneegenskapene der du må gå til sikkerhetsfanen.

Hvis du vil redigere NTFS-tillatelsene for en bruker eller gruppe, klikker du på redigeringsknappen.

Som du kanskje ser er det ganske mange NTFS-tillatelser, slik at vi kan bryte dem ned. Først vil vi se på NTFS-tillatelsene som du kan angi på en fil.

  1. Full Control lar deg lese, skrive, endre, utføre, endre attributter, tillatelser og ta eierskap av filen.
  2. Endre lar deg lese, skrive, endre, utføre og endre filens attributter.
  3. Les &Utfør vil tillate deg å vise filens data, attributter, eier og tillatelser, og kjøre filen hvis det er et program.
  4. Les vil tillate deg å åpne filen, se dens attributter, eier og tillatelser.
  5. Skriv lar deg skrive data til filen, legge til filen, og lese eller endre attributter.

NTFS Tillatelser for mapper har litt forskjellige alternativer, så vi kan se på dem.

  1. Full Control lar deg lese, skrive, modifisere og kjøre filer i mappen, endre attributter, tillatelser og ta eierskap til mappen eller filene i.
  2. Endre lar deg lese, skrive, modifisere og kjøre filer i mappen, og endre attributter til mappen eller filene i.
  3. Les &Utfør lar deg vise mappens innhold og vise data, attributter, eier og tillatelser for filer i mappen, og kjør filer i mappen.
  4. Liste Folder Innhold lar deg vise mappens innhold og vise data, attributter, eier og tillatelser for filer i mappen.
  5. Les lar deg vise filens data, attributter, eier og tillatelser.
  6. Skriv lar deg skrive data til filen, legge til filen, og lese eller endre attributter.

Microsofts dokumentasjon sier også at "List Folder Contents" lar deg kjøre filer i mappen, men det må du fortsatt aktivere "Read &Utfør "for å gjøre det. Det er en veldig forvirrende dokumentert tillatelse.

Sammendrag

I sammendraget er brukernavn og grupper representasjoner av en alfanumerisk streng kalt SID( Security Identifier), Del og NTFS Tillatelser er knyttet til disse SIDene. Del Tillatelser kontrolleres kun av LSSAS når de blir åpnet over nettverket, mens NTFS-tillatelser bare er gyldige på de lokale maskinene. Jeg håper at du alle har en god forståelse for hvordan fil- og mappesikkerhet i Windows 7 er implementert. Hvis du har spørsmål, kan du ikke høres ut i kommentarene.