21Aug

Geek School: Nauka Windows 7 - Dostęp do zasobów

W tej instalacji Szkoły Geek przyglądamy się wirtualizacji folderów, identyfikatorom SID i pozwoleniom, a także systemowi szyfrowania plików.

Zapoznaj się z poprzednimi artykułami z tej serii Geek School na Windows 7:

  • Przedstawiamy szkołę do nauki gry
  • Aktualizacje i migracje
  • Konfigurowanie urządzeń
  • Zarządzanie dyskami
  • Zarządzanie aplikacjami
  • Zarządzanie programem Internet Explorer
  • Podstawy adresowania IP
  • Praca w sieci
  • Komunikacja bezprzewodowaSieć
  • Zapora systemu Windows
  • Administracja zdalna
  • Zdalny dostęp
  • Monitorowanie, wydajność i utrzymywanie systemu Windows

Pozostań zestrojony przez resztę serii przez cały tydzień.Wirtualizacja folderów

W systemie Windows 7 wprowadzono pojęcie bibliotek, które pozwoliły na scentralizowaną lokalizację, z której można przeglądać zasoby znajdujące się w innym miejscu na komputerze. Mówiąc dokładniej, funkcja bibliotek umożliwia dodawanie folderów z dowolnego miejsca na komputerze do jednej z czterech domyślnych bibliotek, dokumentów, muzyki, wideo i obrazów, które są łatwo dostępne z poziomu okienka nawigacji Eksploratora Windows.

Należy zwrócić uwagę na dwie ważne rzeczy związane z funkcją biblioteki:

  • Gdy dodajesz folder do biblioteki, sam folder się nie przesuwa, zamiast tego zostaje utworzony link do lokalizacji tego folderu.
  • Aby dodać udział sieciowy do bibliotek, musi on być dostępny w trybie offline, ale można także użyć obejścia przy użyciu dowiązań symbolicznych.

Aby dodać folder do biblioteki, po prostu przejdź do biblioteki i kliknij link lokalizacji.

Następnie kliknij przycisk Dodaj.

Teraz znajdź folder, który chcesz dołączyć do biblioteki, i kliknij przycisk Dołącz folder.

To wszystko.

Identyfikator zabezpieczeń

System operacyjny Windows używa identyfikatorów SID do reprezentowania wszystkich zasad bezpieczeństwa. Identyfikatory SID to tylko ciągi o zmiennej długości znaków alfanumerycznych, które reprezentują komputery, użytkowników i grupy. Identyfikatory SID są dodawane do list ACL( list kontroli dostępu) za każdym razem, gdy przyznajesz uprawnienia użytkownika lub grupy do pliku lub folderu. Za kulisami identyfikatory SID są przechowywane w ten sam sposób, w jaki wszystkie inne obiekty danych są: binarne. Jednak gdy zobaczysz identyfikator SID w systemie Windows, zostanie wyświetlony przy użyciu bardziej czytelnej składni. Nieczęsto zdarza się, że zobaczysz jakąkolwiek formę identyfikatora SID w systemie Windows;najczęstszym scenariuszem jest przyznawanie komuś uprawnień do zasobu, a następnie usuwanie jego konta użytkownika. Identyfikator SID pojawi się w liście ACL.Więc spójrzmy na typowy format, w którym zobaczysz identyfikatory SID w Windows.

Notacja, którą zobaczysz, przyjmuje pewną składnię.Poniżej znajdują się różne części identyfikatora SID.

  • Prefiks "S"
  • Numer wersji struktury
  • Identyfikator 48-bitowego identyfikatora
  • Zmienna liczba 32-bitowych podrzędnych uprawnień lub względnego identyfikatora( RID) wartości

Użycie mojego identyfikatora SID na poniższym obrazku spowoduje rozbicie różnychsekcje, aby uzyskać lepsze zrozumienie.

Struktura SID:

'S' - Pierwszą składową identyfikatora SID jest zawsze "S".Jest to poprzedzone wszystkimi identyfikatorami SID i służy do informowania systemu Windows, że następuje następujący identyfikator SID.
'1' - Drugi składnik identyfikatora SID to numer wersji specyfikacji SID.Jeśli specyfikacja SID miała zostać zmieniona, zapewniłaby kompatybilność wsteczną.Od wersji Windows 7 i Server 2008 R2 specyfikacja SID wciąż znajduje się w pierwszej wersji.
'5' - Trzecia sekcja identyfikatora SID nazywana jest urzędem identyfikującym. Określa, w jakim zakresie wygenerowano identyfikator SID.Możliwe wartości dla tych sekcji identyfikatora SID mogą być następujące:

  • 0 - Null Authority
  • 1 - World Authority
  • 2 - Local Authority
  • 3 - Author Creator
  • 4 - Nietypowy Urząd
  • 5 - NT Authority

'21' - Czwarty komponent to podrzędne zadanie 1. Wartość "21" jest używana w czwartym polu, aby określić, że kolejne podsektory identyfikują maszynę lokalną lub domenę.
'1206375286-251249764-2214032401' - Są one nazywane, odpowiednio, podrzędnymi władzami 2,3 i 4.W naszym przykładzie jest to używane do identyfikacji lokalnego komputera, ale może być również identyfikatorem dla domeny.
'1000' - Podrzędna autoryzacja 5 jest ostatnim elementem w naszym identyfikatorze SID i nosi nazwę RID( Identyfikator Względny).RID odnosi się do każdej zasady bezpieczeństwa: należy zauważyć, że wszelkie obiekty zdefiniowane przez użytkownika, które nie są wysyłane przez Microsoft, będą miały RID 1000 lub wyższy.

Zasady bezpieczeństwa

Zasada bezpieczeństwa to wszystko, co ma przypisany identyfikator SID.Mogą to być użytkownicy, komputery, a nawet grupy. Zasady bezpieczeństwa mogą być lokalne lub znajdować się w kontekście domeny. Zarządzasz lokalnymi zasadami bezpieczeństwa poprzez przystawkę Lokalni użytkownicy i grupy, w ramach zarządzania komputerem. Aby się tam dostać, kliknij prawym przyciskiem myszy skrót komputera w menu Start i wybierz opcję Zarządzaj.

Aby dodać zasadę bezpieczeństwa nowych użytkowników, możesz przejść do folderu Użytkownicy i kliknąć prawym przyciskiem myszy i wybrać Nowy użytkownik.

Dwukrotne kliknięcie użytkownika pozwala dodać go do grupy zabezpieczeń na karcie Członek grupy.

Aby utworzyć nową grupę zabezpieczeń, przejdź do folderu Grupy po prawej stronie. Kliknij prawym przyciskiem myszy biały obszar i wybierz Nowa grupa.

Uprawnienia udziału i uprawnienia NTFS

W systemie Windows istnieją dwa typy uprawnień do plików i folderów. Po pierwsze, są uprawnienia do udziału. Po drugie, są uprawnienia NTFS, które są również nazywane Security Permissions. Zabezpieczanie folderów współdzielonych odbywa się zwykle w połączeniu z uprawnieniami do udziałów i NTFS.Ponieważ tak jest, należy pamiętać, że zawsze obowiązuje najbardziej restrykcyjne zezwolenie. Na przykład, jeśli uprawnienie do udostępniania daje uprawnienie do odczytu zasady Wszyscy, ale uprawnienie NTFS zezwala użytkownikom na wprowadzanie zmian do pliku, pierwszeństwo ma pozwolenie na udział, a użytkownicy nie będą mogli wprowadzać zmian. Po ustawieniu uprawnień LSASS( lokalny organ bezpieczeństwa) kontroluje dostęp do zasobu. Po zalogowaniu się otrzymujesz token dostępu z identyfikatorem SID.Po przejściu do zasobu LSASS porównuje identyfikator SID dodany do listy ACL( Access Control List).Jeśli identyfikator SID znajduje się na liście ACL, określa, czy zezwolić, czy odmówić dostępu. Niezależnie od używanych uprawnień, istnieją różnice, więc przyjrzyjmy się, aby lepiej zrozumieć, kiedy powinniśmy użyć czego.

Udostępnij uprawnienia:

  • Dotyczy tylko użytkowników uzyskujących dostęp do zasobu przez sieć.Nie mają one zastosowania, jeśli logujesz się lokalnie, na przykład za pośrednictwem usług terminalowych.
  • Dotyczy wszystkich plików i folderów we współużytkowanym zasobie. Jeśli chcesz zapewnić bardziej ziarnisty rodzaj schematu ograniczeń, powinieneś używać uprawnień NTFS oprócz uprawnień współdzielonych
  • Jeśli masz woluminy sformatowane w systemie plików FAT lub FAT32, będzie to jedyna dostępna forma ograniczenia, ponieważ uprawnienia NTFS nie są dostępne.dostępne w tych systemach plików.

Uprawnienia NTFS:

  • Jedynym ograniczeniem uprawnień NTFS jest to, że można je ustawić tylko na woluminie sformatowanym do systemu plików NTFS
  • Pamiętaj, że uprawnienia NTFS są kumulatywne. Oznacza to, że rzeczywiste uprawnienia użytkownika są wynikiem połączenia przypisanych uprawnień użytkownika i uprawnień każdej grupy, do której należy użytkownik.

Nowe uprawnienia Share

Windows 7 zakupione w nowej "łatwej" technice udostępniania. Opcje zmieniły się z odczytu, zmiany i pełnej kontroli do odczytu i odczytu / zapisu. Pomysł był częścią całej mentalności Homegroup i ułatwił udostępnianie folderu osobom nie znającym komputera. Odbywa się to poprzez menu kontekstowe i łatwo udostępnia akcje Twojej grupie domowej.

Jeśli chcesz podzielić się z kimś, kto nie jest w grupie domowej, zawsze możesz wybrać opcję "Określone osoby. ..".Który wywołuje bardziej "skomplikowane" okno dialogowe, w którym można określić użytkownika lub grupę.

Istnieją tylko dwa uprawnienia, jak wspomniano wcześniej. Razem oferują schemat ochrony dla wszystkich folderów i plików.

  1. Odczytanie uprawnienia jest opcją "patrz, nie dotykaj".Odbiorcy mogą otwierać, ale nie modyfikować ani usuwać plików.
  2. Odczyt / zapis to opcja "zrób wszystko".Odbiorcy mogą otwierać, modyfikować lub usuwać pliki.

Old School Permission

Stare okno dialogowe akcji miało więcej opcji, takich jak opcja udostępnienia folderu pod innym aliasem. Pozwoliło to ograniczyć liczbę jednoczesnych połączeń, a także skonfigurować buforowanie.Żadna z tych funkcji nie jest tracona w systemie Windows 7, ale raczej jest ukryta w opcji o nazwie "Zaawansowane udostępnianie".Po kliknięciu prawym przyciskiem myszy na folderze i przejściu do jego właściwości możesz znaleźć te ustawienia "Zaawansowane udostępnianie" na karcie udostępniania.

Jeśli klikniesz przycisk "Zaawansowane udostępnianie", który wymaga poświadczeń administratora lokalnego, możesz skonfigurować wszystkie ustawienia, które były ci znane w poprzednich wersjach systemu Windows.

Po kliknięciu przycisku uprawnień zobaczysz 3 ustawienia, które wszyscy znamy.

    • Odczyt Uprawnienia umożliwiają przeglądanie i otwieranie plików i podkatalogów oraz uruchamianie aplikacji. Jednak nie pozwala na wprowadzanie jakichkolwiek zmian.
    • Zmodyfikuj uprawnienie pozwala zrobić wszystko, na co zezwala uprawnienie Read , a także dodać możliwość dodawania plików i podkatalogów, usuwania podfolderów i zmiany danych w plikach.
    • Pełna kontrola to "zrób wszystko" z klasycznych uprawnień, ponieważ pozwala ci na wykonywanie wszystkich poprzednich uprawnień.Ponadto zapewnia zaawansowane zmienianie uprawnień NTFS, ale dotyczy to tylko folderów NTFS

Uprawnienia NTFS

Uprawnienia NTFS umożliwiają bardzo szczegółową kontrolę nad plikami i folderami. Powiedziawszy to, ilość ziarnistości może zniechęcić przybysza. Można również ustawić uprawnienia NTFS zarówno dla pojedynczych plików, jak i dla poszczególnych folderów. Aby ustawić uprawnienia NTFS w pliku, należy kliknąć prawym przyciskiem myszy i przejść do właściwości pliku, a następnie przejść do karty zabezpieczeń.

Aby edytować uprawnienia NTFS dla użytkownika lub grupy, kliknij przycisk edycji.

Jak widać, istnieje wiele uprawnień NTFS, więc podzielmy je. Najpierw przyjrzymy się uprawnieniom NTFS, które można ustawić w pliku.

  • Pełna kontrola pozwala na odczytywanie, zapisywanie, modyfikowanie, uruchamianie, zmienianie atrybutów, uprawnień i przejęcie na własność pliku.
  • Modyfikuj umożliwia odczytywanie, zapisywanie, modyfikowanie, wykonywanie i zmianę atrybutów pliku.
  • Odczyt &Wykonanie pozwoli ci wyświetlić dane pliku, atrybuty, właściciela i uprawnienia i uruchomić plik, jeśli jest to program.
  • Czytaj pozwoli Ci otworzyć plik, wyświetlić jego atrybuty, właściciela i uprawnienia.
  • Napisz pozwoli ci zapisywać dane do pliku, dołączać do pliku i czytać lub zmieniać jego atrybuty.

Uprawnienia NTFS dla folderów mają nieco inne opcje, więc spójrzmy na nie.

  • Pełna kontrola pozwoli ci czytać, pisać, modyfikować i wykonywać pliki w folderze, zmieniać atrybuty, uprawnienia i przejąć na własność folder lub pliki wewnątrz.
  • Zmodyfikuj pozwoli ci czytać, zapisywać, modyfikować i wykonywać pliki w folderze oraz zmieniać atrybuty folderu lub plików wewnątrz.
  • Odczyt &Wykonanie pozwoli ci wyświetlić zawartość folderu i wyświetlić dane, atrybuty, właściciela i uprawnienia dla plików w folderze oraz uruchomić pliki w folderze.
  • Zawartość folderu pozwoli ci wyświetlić zawartość folderu i wyświetlić dane, atrybuty, właściciela i uprawnienia dla plików w folderze oraz uruchomić pliki w folderze
  • Czytaj pozwoli Ci wyświetlić dane pliku, atrybuty,właściciel i uprawnienia.
  • Napisz pozwoli Ci zapisywać dane do pliku, dołączać do pliku i czytać lub zmieniać jego atrybuty.

Podsumowanie

Podsumowując, nazwy i grupy użytkowników są reprezentacjami alfanumerycznego łańcucha o nazwie SID( Security Identifier).Uprawnienia do udziału i NTFS są powiązane z tymi identyfikatorami SID.Uprawnienia udziału są sprawdzane przez LSSAS tylko podczas uzyskiwania dostępu przez sieć, podczas gdy uprawnienia NTFS są łączone z uprawnieniami do udziału, aby umożliwić bardziej szczegółowy poziom zabezpieczeń dostępu do zasobów zarówno w sieci, jak i lokalnie.

Dostęp do współdzielonego zasobu

Teraz, gdy dowiedzieliśmy się o dwóch metodach, za pomocą których możemy dzielić zawartość na naszych komputerach, w jaki sposób można uzyskać dostęp do niej w sieci? To bardzo proste. Po prostu wpisz następujące polecenie na pasku nawigacyjnym.

\\ nazwa_komputera \ nazwa_udziału

Uwaga: Oczywiście należy zastąpić nazwę komputera nazwa hosta udostępniającego udział i nazwę udziału dla nazwy udziału.

Jest to świetne rozwiązanie dla jednorazowych połączeń, ale co z większym środowiskiem korporacyjnym? Z pewnością nie musisz uczyć użytkowników, jak połączyć się z zasobem sieciowym za pomocą tej metody. Aby obejść ten problem, będziesz chciał zmapować dysk sieciowy dla każdego użytkownika, w ten sposób możesz doradzić mu przechowywanie swoich dokumentów na dysku "H", zamiast próbować wyjaśnić, jak połączyć się z udziałem. Aby zmapować dysk, otwórz Komputer i kliknij przycisk "Mapuj dysk sieciowy".

Następnie wystarczy wpisać ścieżkę UNC udziału.

Prawdopodobnie zastanawiasz się, czy musisz to robić na każdym komputerze i na szczęście odpowiedź brzmi "nie".Zamiast tego możesz napisać skrypt wsadowy, aby automatycznie mapować dyski dla użytkowników podczas logowania i wdrożyć je za pomocą zasad grupy.

Jeśli przeanalizujemy polecenie:

  • Do mapowania dysku używamy polecenia net use.
  • Używamy * do oznaczenia, że ​​chcemy użyć następnej dostępnej litery dysku.
  • Wreszcie określa udział , do którego chcemy zmapować dysk. Zauważ, że użyliśmy cudzysłowów, ponieważ ścieżka UNC zawiera spacje.

Szyfrowanie plików za pomocą systemu plików szyfrowania

Windows zawiera funkcję szyfrowania plików na woluminie NTFS.Oznacza to, że tylko Ty będziesz mógł odszyfrować pliki i je wyświetlić.Aby zaszyfrować plik, po prostu kliknij go prawym przyciskiem myszy i wybierz właściwości z menu kontekstowego.

Następnie kliknij na zaawansowane.

Teraz zaznacz pole wyboru Szyfruj zawartość, aby zabezpieczyć dane, a następnie kliknij OK.

Teraz idź i zastosuj ustawienia.

Wystarczy zaszyfrować plik, ale istnieje również możliwość zaszyfrowania folderu nadrzędnego.

Zwróć uwagę, że po zaszyfrowaniu pliku zmieni kolor na zielony.

Teraz zauważysz, że tylko Ty będziesz mógł otworzyć plik, a inni użytkownicy tego samego komputera nie będą mogli go otworzyć.Proces szyfrowania wykorzystuje szyfrowanie kluczem publicznym, więc zachowaj bezpieczeństwo swoich kluczy szyfrujących. Jeśli je zgubisz, Twój plik zniknął i nie ma możliwości odzyskania go.

Praca domowa

  • Dowiedz się więcej o dziedziczeniu uprawnień i skutecznych uprawnieniach.
  • Przeczytaj ten dokument Microsoft.
  • Dowiedz się, dlaczego chcesz używać BranchCache.
  • Dowiedz się, jak udostępniać drukarki i dlaczego chcesz.