Kako razumjeti one zbunjujuće Windows 7 File / Share dozvole

Jeste li ikada pokušali otkriti sve dozvole u sustavu Windows? Postoje dozvole za dijeljenje, NTFS dozvole, popisi za kontrolu pristupa i još mnogo toga. Evo kako svi rade zajedno.

Identifikator sigurnosti

Windows operativni sustavi koriste SID-ove za predstavljanje svih načela sigurnosti. SID-ovi su samo nizovi različitih duljina alfanumeričkih znakova koji predstavljaju strojeve, korisnike i grupe. SID-ovi se dodaju u ACL-ove (Popisi kontrole pristupa) svaki put kada dodijelite dozvolu korisniku ili skupini datoteku ili mapu. Iza scene SID-ovi se pohranjuju na isti način kao i svi drugi podaci u binarnom obliku. Međutim, kada vidite SID u Windowsima, prikazat će se pomoću čitljivije sintakse. Nije često da ćete u sustavu Windows vidjeti bilo koji oblik SID-a, najčešći scenarij je kada nekome dopustite dozvolu za resurs, a zatim se njihov korisnički račun obriše, a zatim će se pojaviti kao SID u ACL-u. Tako ćemo pogledati tipičan format u kojem ćete vidjeti SID-ove u sustavu Windows.

Oznaka koju ćete vidjeti uzima određenu sintaksu, ispod su različiti dijelovi SID-a u ovoj oznaci.

1. Prefiks "S"
2. Broj revizije strukture
3. 48-bitna vrijednost ovlaštenja identifikatora
4. Promjenjivi broj vrijednosti 32-bitnog pod-ovlaštenja ili relativnog identifikatora (RID)

Pomoću mog SID-a na slici ispod ćemo podijeliti različite odjeljke kako bismo bolje razumjeli.

Struktura SID-a:

'S' - Prva komponenta SID-a je uvijek 'S'. Ovo je prefiks za sve SID-ove i tu je da obavijesti Windows da je ono što slijedi SID.
'1' - Druga komponenta SID-a je broj revizije specifikacije SID-a, ako je SID specifikacija trebala promijeniti, osigurala bi kompatibilnost unatrag. Od Windows 7 i Server 2008 R2 SID specifikacija je još uvijek u prvoj reviziji.
'5' - Treći dio SID-a naziva se Identifier Authority. Time se definira u kojem je opsegu generiran SID. Moguće vrijednosti za ove odjeljke SID-a mogu biti:

1. 0 - Null tijelo
2. 1 - Svjetsko tijelo
3. 2 - Lokalna uprava
4. 3 - Autoritet autora
5. 4 - Ne-jedinstveno ovlaštenje
6. 5 - NT autoritet

'21' - Četvrta komponenta je pod-ovlaštenje 1, a vrijednost "21" se koristi u četvrtom polju da bi se naznačilo da pod-vlasti koje slijede identificiraju Lokalni stroj ili Domenu.
'1206375286-251249764-2214032401' - Oni se nazivaju pod-ovlasti 2,3 i 4. U našem primjeru to se koristi za identifikaciju lokalnog računala, ali može biti i identifikator za domenu.
1000 " - Pod-ovlaštenje 5 je posljednja komponenta u našem SID-u i naziva se RID (Relative Identifier), RID je relativan za svaki princip sigurnosti, imajte na umu da će svi korisnički definirani objekti, oni koji nisu poslani od strane Microsofta imati RID od 1000 ili više.

Načela sigurnosti

Načelo sigurnosti je sve što ima SID, a to mogu biti korisnici, računala, pa čak i grupe. Principi sigurnosti mogu biti lokalni ili u kontekstu domene. Lokalna sigurnosna načela upravljate pomoću snap-ina Local Users and Groups (Lokalni korisnici i grupe) u sklopu upravljanja računalom. Da biste to učinili, kliknite desnom tipkom miša na prečac računala u izborniku Start i odaberite upravljanje.

Da biste dodali novi princip sigurnosti korisnika, možete otići u mapu korisnika i kliknuti desnom tipkom miša i odabrati novog korisnika.

Ako dvaput kliknete na korisnika, možete ih dodati u sigurnosnu grupu na kartici Član.

Da biste stvorili novu sigurnosnu grupu, idite na mapu Grupe na desnoj strani. Kliknite desnom tipkom miša na bijeli prostor i odaberite novu grupu.

Dijeli dozvole i NTFS dopuštenje

U sustavu Windows postoje dvije vrste dozvola za datoteke i mape, prvo postoje Dozvole dijeljenja, a drugo postoje NTFS dozvole koje se nazivaju i Dopuštenja za sigurnost. Zapamtite da kada dijelite mapu prema zadanim postavkama grupa "Svi" dobiva dozvolu za čitanje. Sigurnost mapa obično se radi s kombinacijom Dijeljenja i Dopuštenja NTFS-a, ako je to slučaj, važno je zapamtiti da se najviše ograničava uvijek primjenjuje, na primjer ako je dozvola za dijeljenje postavljena na Everyone = Read (što je zadano), ali dopuštenje NTFS dopušta korisnicima da naprave promjene u datoteci, Dozvola za dijeljenje preuzet će preferencije, a korisnicima neće biti dopušteno vršiti promjene. Kada postavite dozvole, LSASS (Lokalno sigurnosno tijelo) kontrolira pristup resursu. Kada se prijavite dobivate pristupni token sa svojim SID-om na njemu, kada pristupite resursu, LSASS uspoređuje SID koji ste dodali ACL-u (Popis kontrole pristupa) i ako je SID na ACL-u određuje hoće li dopustiti ili zabraniti pristup. Bez obzira na to koje dozvole koristite, postoje razlike tako da pogledamo kako bismo bolje shvatili kada bismo trebali koristiti ono što.

Dozvole dijeljenja:

1. Primjenjuju se samo na korisnike koji pristupaju resursu putem mreže. Ne primjenjuju se ako se prijavite lokalno, primjerice putem terminalskih usluga.
2. To se odnosi na sve datoteke i mape u zajedničkom resursu. Ako želite pružiti detaljniju vrstu ograničenja, trebate koristiti dopuštenje NTFS-a uz zajedničke dozvole
3. Ako imate formatirane jedinice FAT ili FAT32, to će biti jedini oblik ograničenja koji vam je dostupan, jer NTFS dozvole nisu dostupne na tim sustavima datoteka.

Dozvole NTFS:

1. Jedino ograničenje za NTFS dozvole je da se mogu postaviti samo na volumen koji je formatiran u datotečnom sustavu NTFS
2. Zapamtite da su NTFS kumulativni, što znači da su korisne dozvole rezultat kombiniranja korisnikovih dodijeljenih dozvola i dozvola bilo koje grupe kojoj korisnik pripada.

Nove dozvole za dijeljenje

Windows 7 kupio je uz novu "jednostavnu" tehniku ​​dijeljenja. Opcije su promijenjene s Read, Change i Full Control na. Čitanje i čitanje / pisanje. Ideja je bila dio cjelokupnog mentaliteta Home grupe i olakšava dijeljenje mape za nepismene ljude. To se postiže putem kontekstnog izbornika i lako dijeli s vašom kućnom grupom.

Ako ste htjeli podijeliti s nekim tko nije u matičnoj grupi, uvijek možete odabrati opciju "Specifični ljudi ...". To bi dovelo do "razrađenog" dijaloga. Gdje možete odrediti određenog korisnika ili grupu.

Postoje samo dva dopuštenja kao što je već spomenuto, zajedno nude sve ili ništa zaštitne sheme za vaše mape i datoteke.

1. Čitati dopuštenje je opcija "pogledaj, ne diraj". Primatelji mogu otvoriti, ali ne izmijeniti ili izbrisati datoteku.
2. Read / Write je opcija "uradi bilo što". Primatelji mogu otvoriti, izmijeniti ili izbrisati datoteku.

Put stare škole

Stari dijalog dijeljenja imao je više opcija i dao nam je mogućnost dijeljenja mape pod drugim pseudonimom, što nam je omogućilo da ograničimo broj istovremenih veza, kao i konfiguriramo predmemoriranje. Nijedna od ovih funkcija nije izgubljena u sustavu Windows 7, već je skrivena pod opcijom pod nazivom "Napredno dijeljenje". Ako kliknete desnom tipkom miša na mapu i krenete na njezina svojstva, možete pronaći postavke "Napredno dijeljenje" na kartici dijeljenja.

Ako kliknete gumb "Napredno dijeljenje" koji zahtijeva vjerodajnice lokalnog administratora, možete konfigurirati sve postavke s kojima ste bili upoznati u prethodnim verzijama sustava Windows.

Ako kliknete na gumb dozvola, prikazat će vam se tri postavke s kojima smo svi upoznati.

1. Čitati dopuštenje omogućuje pregled i otvaranje datoteka i poddirektorija te izvršavanje aplikacija. Međutim, to ne dopušta nikakve izmjene.
2. izmijeniti dopuštenje vam omogućuje da učinite bilo što Čitati dopušta dopuštenje, također dodaje mogućnost dodavanja datoteka i poddirektorija, brisanja podmapa i promjene podataka u datotekama.
3. Potpuna kontrola je "učiniti sve" od klasičnih dozvola, jer vam omogućuje da učinite sve prethodne dozvole. Osim toga, daje vam naprednu izmjenu NTFS dozvole, to se odnosi samo na NTFS mape

NTFS dozvole

NTFS Dopuštenje omogućuje vrlo granularnu kontrolu nad vašim datotekama i mapama. S tim u vezi količina zrnatosti može biti zastrašujuća za pridošlicu. Također možete postaviti dopuštenje NTFS-a za svaku datoteku kao i za svaku mapu. Da biste postavili NTFS dopuštenje za datoteku, trebate kliknuti desnom tipkom miša i otići do svojstava datoteka gdje ćete morati otići na karticu sigurnosti.

Da biste uredili NTFS dozvole za korisnika ili grupu, kliknite na gumb za uređivanje.

Kao što možete vidjeti, postoji dosta dopuštenja za NTFS tako da ih možemo razbiti. Prvo ćemo pogledati NTFS dozvole koje možete postaviti na datoteku.

1. Potpuna kontrola omogućuje vam čitanje, pisanje, izmjenu, izvršavanje, promjenu atributa, dopuštenja i preuzimanje vlasništva nad datotekom.
2. izmijeniti omogućuje vam čitanje, pisanje, izmjenu, izvršavanje i promjenu atributa datoteke.
3. Čitanje i izvršavanje će vam omogućiti da prikažete podatke, atribute, vlasnika i dozvole datoteke i pokrenete datoteku ako je njezin program.
4. Čitati omogućit će vam da otvorite datoteku, pogledate njezine atribute, vlasnika i dozvole.
5. Pisati omogućit će vam da zapišete podatke u datoteku, dodate datoteku i pročitate ili promijenite njene atribute.

NTFS Dozvole za mape imaju nešto različite opcije pa ih možete pogledati.

1. Potpuna kontrola omogućuje vam čitanje, pisanje, izmjenu i izvršavanje datoteka u mapi, promjenu atributa, dozvola i preuzimanje vlasništva nad mapom ili datotekama unutar.
2. izmijeniti omogućuje vam čitanje, pisanje, izmjenu i izvršavanje datoteka u mapi i promjenu atributa unutar mape ili datoteka.
3. Čitanje i izvršavanje omogućit će vam prikaz sadržaja mape i prikaz podataka, atributa, vlasnika i dozvola za datoteke unutar mape te pokretanje datoteka unutar mape.
4. Popis sadržaja mape omogućit će vam prikaz sadržaja mape i prikaz podataka, atributa, vlasnika i dozvola za datoteke unutar mape.
5. Čitati omogućit će vam prikaz podataka, atributa, vlasnika i dopuštenja datoteke.
6. Pisati omogućit će vam da zapišete podatke u datoteku, dodate datoteku i pročitate ili promijenite njene atribute.

Dokumentacija tvrtke Microsoft također navodi da će "Sadržaj mape s popisima" omogućiti izvršavanje datoteka unutar mape, ali će i dalje trebati omogućiti "Čitanje i izvršavanje" kako bi to učinili. To je vrlo zabunom dokumentirano dopuštenje.

Sažetak

Ukratko, korisnička imena i grupe su reprezentacije alfanumeričkog niza koji se naziva SID (Security Identifier), Dijeljenje i NTFS dozvole su povezani s tim SID-ovima. Dozvole za dijeljenje provjerava LSSAS samo kada im se pristupa putem mreže, dok su dozvole NTFS valjane samo na lokalnim računalima. Nadam se da ste svi dobro razumjeli kako je implementirana sigurnost datoteka i mapa u sustavu Windows 7. \ t Ako imate bilo kakvih pitanja slobodno se javite u komentarima.