Geek School: Læring Windows 7 - Ressurstilgang

I denne installasjonen av Geek School tar vi en titt på Folder Virtualisering, SIDer og Tillatelse, samt Krypteringsfilsystemet.

Husk å sjekke ut de forrige artiklene i denne Geek School-serien på Windows 7:

• Introdusere hvordan-til-geekskole
• Oppgraderinger og overføringer
• Konfigurere enheter
• Administrere disker
• Administrere applikasjoner
• Administrere Internet Explorer
• IP-adresseringsgrunnlag
• Nettverk
• TrådløsNettverk
• Windows-brannmur
• Fjernadministrasjon
• Fjerntilgang
• Overvåking, ytelse og vedlikehold av Windows

Og hold deg innstilt for resten av serien hele denne uken.

Folder virtualisering

Windows 7 introduserte begrepet biblioteker som tillot at du har en sentralisert posisjon som du kan se ressurser som ligger andre steder på datamaskinen. Mer spesifikt har biblioteksfunksjonen tillat deg å legge til mapper fra hvor som helst på datamaskinen til en av fire standardbiblioteker, Dokumenter, Musikk, Videoer og Bilder, som er lett tilgjengelige fra navigasjonsruten i Windows Utforsker.

Det er to viktige ting å merke seg om bibliotekets funksjon:

• Når du legger til en mappe i et bibliotek, flyttes ikke mappen i seg selv, men det opprettes en lenke til mappens plassering.
• For å legge til en nettverksandel til bibliotekene dine må den være tilgjengelig offline, men du kan også bruke et arbeid rundt med symbolske lenker.

Hvis du vil legge til en mappe i et bibliotek, kan du bare gå inn i biblioteket og klikke på stedslinken.

Klikk deretter på add-knappen.

Finn nå mappen du vil inkludere i biblioteket, og klikk på Inkluder mappeknappen.

Det er alt der er til det.

Sikkerhetsidentifikatoren

Windows operativsystemet bruker SID til å representere alle sikkerhetsprinsipper. SIDer er bare strenger med variabel lengde med alfanumeriske tegn som representerer maskiner, brukere og grupper. SID legges til ACL( Access Control Lists) hver gang du gir en bruker eller gruppe tillatelse til en fil eller mappe. Bak kulissene lagres SID-er på samme måte som alle andre dataobjekter er: i binære. Når du ser et SID i Windows, vises det imidlertid med en mer lesbar syntaks. Det er ikke ofte at du vil se noen form for SID i Windows;Det vanligste scenariet er når du gir noen tillatelse til en ressurs, og deretter slett brukerkontoen sin. SID vil da dukke opp i ACL.Så kan vi se på det typiske formatet der du vil se SIDer i Windows.

Notasjonen som du vil se tar en viss syntaks. Nedenfor er de forskjellige delene av et SID.

• En 'S' prefiks
• Strukturrevisjonsnummer
• En 48-bits identifikasjonsautorisasjonsverdi
• Et variabelt antall 32-biters sub-autorisasjon eller relative identifiseringsverdier

Ved å bruke mitt SID i bildet nedenfor, vil vi bryte opp de forskjelligeseksjoner for å få bedre forståelse.

SID-strukturen:

'S' - Den første komponenten til et SID er alltid en 'S'.Dette er prefixed til alle SIDs og er der for å informere Windows om at det som følger er et SID.
'1' - Den andre komponenten til et SID er revisjonsnummeret til SID-spesifikasjonen. Hvis SID-spesifikasjonen skulle endres, ville det gi bakoverkompatibilitet. I Windows 7 og Server 2008 R2 er SID-spesifikasjonen fortsatt i den første revisjonen.
'5' - Den tredje delen av et SID kalles Identifier Authority. Dette definerer i hvilket omfang SID ble generert. Mulige verdier for disse delene av SID kan være:

• 0 - Null Authority
• 1 - Verdensmyndighet
• 2 - Lokal myndighet
• 3 - Opphavsmyndighet
• 4 - Ikke-unik myndighet
• 5 - NT Authority

5

'21' - Den fjerde komponenten er undermyndighet 1. Verdien '21' brukes i det fjerde feltet for å angi at undermyndighetene som følger, identifiserer lokalmaskinen eller domenet.
'1206375286-251249764-2214032401' - Disse kalles undermyndighet 2,3 og 4 henholdsvis. I vårt eksempel brukes dette til å identifisere den lokale maskinen, men kan også være identifikatoren for et domene.
'1000' - Undermyndighet 5 er den siste komponenten i vårt SID og kalles RID( Relativ Identifier).RID er i forhold til hvert sikkerhetsprinsipp: Vær oppmerksom på at alle brukerdefinerte objekter, de som ikke sendes av Microsoft, vil ha et RID på 1000 eller høyere.

Sikkerhetsprinsipper

Et sikkerhetsprinsipp er alt som har et SID knyttet til det. Disse kan være brukere, datamaskiner og like grupper. Sikkerhetsprinsipper kan være lokale eller være i domenekonteksten. Du håndterer lokale sikkerhetsprinsipper ved hjelp av Local Users og Groups snap-in, under datamaskinhåndtering. For å komme dit, høyreklikk på datask snarveien i startmenyen og velg administrere.

Hvis du vil legge til et nytt brukersikkerhetsprinsipp, kan du gå til brukerens mappe og høyreklikk og velg ny bruker.

Hvis du dobbeltklikker på en bruker, kan du legge dem til en sikkerhetsgruppe på fanen Medlem av.

For å opprette en ny sikkerhetsgruppe, naviger til mappen Grupper på høyre side. Høyreklikk på den hvite plassen og velg Ny gruppe.

Del Tillatelser og NTFS Tillatelse

I Windows er det to typer fil- og mappegodkjenninger. For det første er det Del Tillatelsene. For det andre er det NTFS-tillatelser, som også kalles sikkerhetsstillatelser. Sikring av delte mapper utføres vanligvis med en kombinasjon av Del og NTFS Tillatelser. Siden dette er tilfelle, er det viktig å huske at den mest restriktive tillatelsen alltid gjelder. Hvis for eksempel aksje-tillatelsen gir alle sikkerhetsprinsippene lest tillatelse, men NTFS-tillatelsen tillater brukere å gjøre en endring i filen, vil aksje tillatelsen ha forrang, og brukerne får ikke lov til å gjøre endringer. Når du angir tillatelsene, kontrollerer LSASS( Local Security Authority) tilgang til ressursen. Når du logger på, får du et tilgangstoken med ditt SID på den. Når du går for å få tilgang til ressursen, sammenligner LSASS SID som du har lagt til i ACL( Access Control List).Hvis SID er på ACL, bestemmer det om å tillate eller nekte tilgang. Uansett hvilke tillatelser du bruker, er det forskjeller, så la oss ta en titt for å få en bedre forståelse av når vi skal bruke det.

Del Tillatelser:

• Gjelder kun for brukere som får tilgang til ressursen over nettverket. De gjelder ikke hvis du logger deg på lokalt, for eksempel gjennom terminaltjenester.
• Den gjelder for alle filer og mapper i den delte ressursen. Hvis du vil gi en mer granulert form for restriksjonssystem, bør du bruke NTFS-tillatelse i tillegg til delte tillatelser
• Hvis du har noen formaterte FAT- eller FAT32-volumer, vil dette være den eneste form for begrensning som er tilgjengelig for deg, da NTFS-tillatelser ikke ertilgjengelig på disse filsystemene.

NTFS Tillatelser:

• Den eneste begrensningen på NTFS-tillatelser er at de bare kan settes på et volum som er formatert til NTFS-filsystemet
• Husk at NTFS-tillatelser er kumulative. Det betyr at en brukers effektive tillatelser er resultatet av å kombinere brukerens tildelte tillatelser og tillatelsene til alle grupper brukeren tilhører.

The New Share Tillatelser

Windows 7 kjøpt sammen med en ny "enkel" delteknikk. Alternativene endret fra Les, Endre og Full kontroll til Les og Les / Skriv. Ideen var en del av hele hjemmegruppens mentalitet og gjør det enkelt å dele en mappe for ikke-datamaskinerte folk. Dette gjøres via kontekstmenyen og deler enkelt med hjemmegruppen din.

Hvis du ønsket å dele med noen som ikke er i hjemmegruppen, kan du alltid velge alternativet "Spesifikt folk. ..".Som ville gi opp en mer utførlig dialog hvor du kunne spesifisere en bruker eller gruppe.

Det er bare to tillatelser, som tidligere nevnt. Sammen tilbyr de et helt eller ingenting beskyttelsesprogram for mappene og filene dine.

1. Les -tillatelsen er "se, ikke rør" -alternativet. Mottakere kan åpne, men ikke endre eller slette en fil.
2. Les / skriv er alternativet "gjør noe".Mottakere kan åpne, endre eller slette en fil.

Den gamle skoletillatelsen

Den gamle delingsdialogen hadde flere alternativer, for eksempel muligheten til å dele mappen under et annet alias. Det tillot oss å begrense antall samtidige tilkoblinger samt konfigurere caching. Ingen av denne funksjonaliteten går tapt i Windows 7, men er gjemt under et alternativ kalt "Avansert deling".Hvis du høyreklikker på en mappe og går til sine egenskaper, kan du finne disse innstillingene "Advanced Sharing" under kategorien Deling.

Hvis du klikker på "Avansert deling" -knappen, som krever lokale administratorkvalifikasjoner, kan du konfigurere alle innstillingene du var kjent med i tidligere versjoner av Windows.

Hvis du klikker på tillatelsesknappen, vil du bli presentert med de 3 innstillingene som vi alle er kjent med.

• Les -tillatelse, slik at du kan se og åpne filer og underkataloger samt utføre programmer. Men det tillater ikke at noen endringer gjøres.
• Endre -tillatelse lar deg gjøre alt som Les -tillatelse tillater, og det legger også til muligheten til å legge til filer og underkataloger, slette undermapper og endre data i filene.
• Full Control er "gjør alt" av de klassiske tillatelsene, da det gjør det mulig for deg å gjøre alle de forrige tillatelsene. I tillegg gir den deg den avanserte endrede NTFS-tillatelsen, men dette gjelder bare for NTFS-mapper

NTFS-tillatelser

NTFS-tillatelser tillater veldig granulær kontroll over filene og mappene dine. Med det sagt kan mengden av granularitet være skremmende for en nykommer. Du kan også angi NTFS-tillatelse på per filbasis samt per mappegrunnlag. Hvis du vil angi NTFS-tillatelse til en fil, bør du høyreklikke og gå til filens egenskaper, og deretter gå til sikkerhetsfanen.

Hvis du vil redigere NTFS-tillatelsene for en bruker eller gruppe, klikker du på redigeringsknappen.

Som du kanskje ser, er det ganske mange NTFS-tillatelser, så la oss slå dem ned. Først vil vi se på NTFS-tillatelsene som du kan angi på en fil.

• Full kontroll lar deg lese, skrive, endre, utføre, endre attributter, tillatelser og ta eierskap av filen.
• Endre lar deg lese, skrive, modifisere, utføre og endre filens attributter.
• Les &Utfør vil tillate deg å vise filens data, attributter, eier og tillatelser, og kjøre filen hvis den er et program.
• Les vil tillate deg å åpne filen, se dens attributter, eier og tillatelser.
• Skriv lar deg skrive data til filen, legge til filen, og lese eller endre attributter.

NTFS Tillatelser for mapper har litt forskjellige alternativer, så vi kan se på dem.

• Full Control lar deg lese, skrive, modifisere og kjøre filer i mappen, endre attributter, tillatelser og ta eierskap av mappen eller filene i.
• Endre vil tillate deg å lese, skrive, modifisere og kjøre filer i mappen, og endre attributter til mappen eller filene i.
• Les &Utfør lar deg vise mappens innhold og vise data, attributter, eier og tillatelser for filer i mappen, og kjør filer i mappen.
• Liste Folder Innhold vil tillate deg å vise mappens innhold og vise data, attributter, eier og tillatelser for filer i mappen og kjøre filer i mappen
• Les vil tillate deg å vise filens data, attributter,eier og tillatelser.
• Skriv lar deg skrive data til filen, legge til filen, og lese eller endre attributter.

Sammendrag

Sammendrag, brukernavn og grupper er representasjoner av en alfanumerisk streng kalt SID( sikkerhetsidentifikator).Del og NTFS Tillatelser er knyttet til disse SIDene. Del Tillatelser kontrolleres kun av LSSAS når de blir åpnet over nettverket, mens NTFS Tillatelser er kombinert med Del Tillatelser for å tillate et mer granulert sikkerhetsnivå for at ressurser blir tilgjengelige over nettverket, så vel som lokalt.

Å få tilgang til en delt ressurs

Så nå som vi har lært om de to metodene vi kan bruke til å dele innhold på våre PCer, hvordan går det faktisk om å få tilgang til det via nettverket? Det er veldig enkelt. Skriv bare inn følgende i navigeringsfeltet.

\\ datamaskinnavn \ sharename

Merk: Du må selvsagt erstatte datamaskinnavn for navnet på PCen som serverer del og sharenavn for navnet på aksjen.

Dette er flott for en gang av tilkoblinger, men hva med et større bedriftsmiljø?Sikkert må du ikke lære brukerne hvordan du kobler til en nettverksressurs ved hjelp av denne metoden. For å komme seg rundt dette, vil du kartlegge en nettverksstasjon for hver bruker, slik at du kan råde dem til å lagre dokumentene sine på "H" -disken, i stedet for å forklare hvordan du kobler til en del. For å kartlegge en stasjon, åpne Computer og klikk på "Map Network Drive" -knappen.

Skriv deretter bare inn UNC-banen til delen.

Du lurer sikkert på om du må gjøre det på hver PC, og heldigvis er svaret nei. Snarere kan du skrive et batchskript for automatisk å kartlegge stasjonene for brukerne dine ved pålogging og distribuere det via gruppepolicy.

Hvis vi dissekerer kommandoen:

• Vi bruker nettverksbruk -kommandoen for å kartlegge stasjonen.
• Vi bruker * til å indikere at vi vil bruke neste tilgjengelige stasjonsbokstav.
• Til slutt angir vi aksjen vi ønsker å kartlegge stasjonen til. Legg merke til at vi brukte sitater fordi UNC-banen inneholder mellomrom.

Kryptere filer ved hjelp av krypteringsfilsystemet

Windows inkluderer muligheten til å kryptere filer på et NTFS-volum. Dette betyr at bare du vil kunne dekryptere filene og vise dem. For å kryptere en fil, rett høyreklikk på den og velg egenskaper fra kontekstmenyen.

Klikk deretter på avansert.

Merk av for krypteringsinnholdet for å sikre data, og klikk deretter OK.

Nå går du videre og bruker innstillingene.

Vi trenger bare å kryptere filen, men du har også mulighet til å kryptere den overordnede mappen også.

Vær oppmerksom på at når filen er kryptert, blir den grønn.

Du vil nå legge merke til at bare du vil kunne åpne filen og at andre brukere på samme PC ikke vil kunne. Krypteringsprosessen bruker offentlig nøkkelkryptering, så hold krypteringsnøklene dine trygge. Hvis du mister dem, er filen borte og det er ingen måte å gjenopprette den.

lekser

• Lær om tillatelse arv og effektive tillatelser.
• Les dette Microsoft-dokumentet.
• Lær hvorfor du vil bruke BranchCache.
• Lær hvordan du deler skrivere og hvorfor du vil.