Husk å sjekke ut de forrige artiklene i denne Geek School-serien på Windows 7:
- Introduserer How-To Geek School
- Oppgraderinger og overføringer
- Konfigurere enheter
- Administrere disker
- Administrere applikasjoner
- Administrere Internet Explorer
- IP-adressering grunnleggende
- Nettverk
- Trådløst nettverk
- Windows brannmur
- Fjernadministrasjon
- Fjerntilgang
- Overvåking, ytelse og vedlikehold av Windows
Og hold deg innstilt for resten av serien hele denne uken.
Mapp virtualisering
Windows 7 introduserte begrepet biblioteker som tillot at du har en sentralisert plassering som du kan se ressurser på andre steder på datamaskinen din. Mer spesifikt har biblioteksfunksjonen tillat deg å legge til mapper fra hvor som helst på datamaskinen til en av fire standardbiblioteker, Dokumenter, Musikk, Videoer og Bilder, som er lett tilgjengelige fra navigasjonsruten i Windows Utforsker.
- Når du legger til en mappe i et bibliotek, flyttes ikke mappen i seg selv, men en lenke blir opprettet til mappenes plassering.
- For å kunne legge til en nettverksandel til bibliotekene dine må den være tilgjengelig offline, men du kan også bruke et arbeid rundt med symbolske linker.
For å legge til en mappe i et bibliotek, bare hodet inn i biblioteket og klikk på stedslinken.
Sikkerhetsidentifikatoren
Windows-operativsystemet bruker SID-er til å representere alle sikkerhetsprinsipper. SIDer er bare strenger med variabel lengde med alfanumeriske tegn som representerer maskiner, brukere og grupper. SID legges til ACL (Access Control Lists) hver gang du gir en bruker eller gruppe tillatelse til en fil eller mappe. Bak kulissene lagres SID-er på samme måte som alle andre dataobjekter er: i binære. Når du ser et SID i Windows, vises det imidlertid med en mer lesbar syntaks. Det er ikke ofte at du vil se noen form for SID i Windows; Det vanligste scenariet er når du gir noen tillatelse til en ressurs, og deretter slett brukerkontoen sin. SID vil da dukke opp i ACL. Så kan vi se på det typiske formatet der du vil se SIDer i Windows.
- Et 'S' prefiks
- Strukturrevisjonsnummer
- En 48-biters identifiserings autorisasjonsverdi
- Et variabelt antall 32-biters sub-autorisasjon eller relative identifikator (RID) -verdier
Ved å bruke mitt SID i bildet nedenfor, vil vi bryte opp de forskjellige seksjonene for å få en bedre forståelse.
The SID Structure:
‘S’ – The first component of a SID is always an ‘S’. This is prefixed to all SIDs and is there to inform Windows that what follows is a SID. ’1′ – The second component of a SID is the revision number of the SID specification. If the SID specification was to change it would provide backwards compatibility. As of Windows 7 and Server 2008 R2, the SID specification is still in the first revision. ’5′ – The third section of a SID is called the Identifier Authority. This defines in what scope the SID was generated. Possible values for this sections of the SID can be:
- 0 – Null Authority
- 1 – World Authority
- 2 – Local Authority
- 3 – Creator Authority
- 4 – Non-unique Authority
- 5 – NT Authority
’21′ – The fourth component is sub-authority 1. The value ’21′ is used in the fourth field to specify that the sub-authorities that follow identify the Local Machine or the Domain. ’1206375286-251249764-2214032401′ – These are called sub-authority 2,3 and 4 respectively. In our example this is used to identify the local machine, but could also be the the identifier for a Domain. ’1000′ – Sub-authority 5 is the last component in our SID and is called the RID (Relative Identifier). The RID is relative to each security principle: please note that any user defined objects, the ones that are not shipped by Microsoft, will have a RID of 1000 or greater.
Sikkerhetsprinsipper
Et sikkerhetsprinsipp er alt som har et SID knyttet til det. Disse kan være brukere, datamaskiner og like grupper. Sikkerhetsprinsipper kan være lokale eller være i domenekonteksten. Du håndterer lokale sikkerhetsprinsipper ved hjelp av Local Users og Groups snap-in, under datamaskinhåndtering. For å komme dit, høyreklikk på datask snarveien i startmenyen og velg administrere.
Del Tillatelser og NTFS Tillatelse
I Windows er det to typer fil- og mappegodkjenninger. For det første er det Del Tillatelsene. For det andre er det NTFS-tillatelser, som også kalles sikkerhetsstillatelser. Sikring av delte mapper utføres vanligvis med en kombinasjon av Del og NTFS Tillatelser. Siden dette er tilfelle, er det viktig å huske at den mest restriktive tillatelsen alltid gjelder. Hvis for eksempel aksje-tillatelsen gir alle sikkerhetsprinsippene lest tillatelse, men NTFS-tillatelsen tillater brukere å gjøre en endring i filen, vil aksje tillatelsen ha forrang, og brukerne får ikke lov til å gjøre endringer. Når du angir tillatelsene, kontrollerer LSASS (Local Security Authority) tilgang til ressursen. Når du logger på, får du et tilgangstoken med ditt SID på den. Når du går for å få tilgang til ressursen, sammenligner LSASS SID som du har lagt til i ACL (Access Control List). Hvis SID er på ACL, bestemmer det om å tillate eller nekte tilgang. Uansett hvilke tillatelser du bruker, er det forskjeller, så la oss ta en titt for å få en bedre forståelse av når vi skal bruke det.
Del Tillatelser:
- Gjelder kun brukere som har tilgang til ressursen over nettverket. De gjelder ikke hvis du logger deg på lokalt, for eksempel gjennom terminaltjenester.
- Den gjelder for alle filer og mapper i den delte ressursen. Hvis du vil gi en mer granulert form for restriksjoner, bør du bruke NTFS-tillatelse i tillegg til delte tillatelser
- Hvis du har noen formaterte FAT- eller FAT32-volumer, vil dette være den eneste form for begrensning som er tilgjengelig for deg, da NTFS-tillatelser ikke er tilgjengelige på disse filsystemene.
NTFS Tillatelser:
- Den eneste begrensningen på NTFS-tillatelser er at de bare kan settes på et volum som er formatert til NTFS-filsystemet
- Husk at NTFS-tillatelser er kumulative.Det betyr at en brukers effektive tillatelser er resultatet av å kombinere brukerens tildelte tillatelser og tillatelsene til alle grupper brukeren tilhører.
The New Share Tillatelser
Windows 7 kjøpt sammen med en ny "enkel" delteknikk. Alternativene endret fra Les, Endre og Full kontroll til Les og Les / Skriv. Ideen var en del av hele hjemmegruppens mentalitet og gjør det enkelt å dele en mappe for ikke-datamaskinerte folk. Dette gjøres via kontekstmenyen og deler enkelt med hjemmegruppen din.
- Read permission is the “look, don’t touch” option. Recipients can open, but not modify or delete a file.
- Read/Write is the “do anything” option. Recipients can open, modify, or delete a file.
Gammel skole Tillatelse
Den gamle delingsdialogen hadde flere alternativer, for eksempel muligheten til å dele mappen under et annet alias. Det tillot oss å begrense antall samtidige tilkoblinger samt konfigurere caching. Ingen av denne funksjonaliteten går tapt i Windows 7, men er gjemt under et alternativ kalt "Avansert deling". Hvis du høyreklikker på en mappe og går til sine egenskaper, kan du finne disse innstillingene "Advanced Sharing" under kategorien Deling.
- Lese Tillatelse tillater deg å vise og åpne filer og underkataloger samt å utføre programmer. Men det tillater ikke at noen endringer gjøres.
- endre Tillatelse tillater deg å gjøre alt det Lese Tillatelse tillater det, og det legger også muligheten til å legge til filer og underkataloger, slette undermapper og endre data i filene.
- Full kontroll er "gjør noe" av de klassiske tillatelsene, da det gjør det mulig for deg å gjøre alle de forrige tillatelsene. I tillegg gir den deg den avanserte endrede NTFS-tillatelsen, men dette gjelder bare for NTFS-mapper
NTFS-tillatelser
NTFS Tillatelser tillater veldig granulær kontroll over dine filer og mapper. Med det sagt kan mengden av granularitet være skremmende for en nykommer. Du kan også angi NTFS-tillatelse på per filbasis samt per mappegrunnlag. Hvis du vil angi NTFS-tillatelse til en fil, bør du høyreklikke og gå til filens egenskaper, og deretter gå til sikkerhetsfanen.
- Full Control allows you to read, write, modify, execute, change attributes, permissions, and take ownership of the file.
- Modify allows you to read, write, modify, execute, and change the file’s attributes.
- Read & Execute will allow you to display the file’s data, attributes, owner, and permissions, and run the file if it’s a program.
- Read will allow you to open the file, view its attributes, owner, and permissions.
- Write will allow you to write data to the file, append to the file, and read or change its attributes.
NTFS-tillatelser for mapper har litt forskjellige alternativer, så vi kan se på dem.
- Full Control will allow you to read, write, modify, and execute files in the folder, change attributes, permissions, and take ownership of the folder or files within.
- Modify will allow you to read, write, modify, and execute files in the folder, and change attributes of the folder or files within.
- Read & Execute will allow you to display the folder’s contents and display the data, attributes, owner, and permissions for files within the folder, and run files within the folder.
- List Folder Contents will allow you to display the folder’s contents and display the data, attributes, owner, and permissions for files within the folder, and run files within the folder
- Read will allow you to display the file’s data, attributes, owner, and permissions.
- Write will allow you to write data to the file, append to the file, and read or change its attributes.
Sammendrag
Sammendrag, brukernavn og grupper er representasjoner av en alfanumerisk streng kalt SID (sikkerhetsidentifikator). Del og NTFS Tillatelser er knyttet til disse SIDene. Del Tillatelser kontrolleres kun av LSSAS når de blir åpnet over nettverket, mens NTFS Tillatelser er kombinert med Del Tillatelser for å tillate et mer granulert sikkerhetsnivå for at ressurser blir tilgjengelige over nettverket, så vel som lokalt.
Å få tilgang til en delt ressurs
Så nå som vi har lært om de to metodene vi kan bruke til å dele innhold på våre PCer, hvordan går det faktisk om å få tilgang til det over nettverket? Det er veldig enkelt. Skriv bare inn følgende i navigeringsfeltet.
computernamesharename
Merk: Du må selvsagt erstatte datamaskinnavn for navnet på PCen som serverer del og sharenavn for navnet på aksjen.
- Vi bruker nettbruk kommandoen for å kartlegge stasjonen.
- Vi bruker * å betegne at vi vil bruke neste tilgjengelige stasjonsbokstav.
- Endelig vi spesifiser aksjen Vi ønsker å kartlegge stasjonen til. Legg merke til at vi brukte sitater fordi UNC-banen inneholder mellomrom.
Kryptere filer ved hjelp av krypteringsfilsystemet
Windows inkluderer muligheten til å kryptere filer på et NTFS-volum. Dette betyr at bare du vil kunne dekryptere filene og vise dem. For å kryptere en fil, rett høyreklikk på den og velg egenskaper fra kontekstmenyen.
Hjemmelekser
- Lær om tillatelse arv og effektive tillatelser.
- Les dette Microsoft-dokumentet.
- Lær hvorfor du vil bruke BranchCache.
- Lær hvordan du deler skrivere og hvorfor du vil.
