Popisovače zabezpečení v systémech souborů

Systémy souborů Windows můžou podporovat ukládání a správu popisovačů zabezpečení přidružených k jednotlivým jednotkám úložiště v rámci systému souborů. Členitost ovládacího prvku zabezpečení je zcela v systému souborů. Například:

• Jeden systém souborů může udržovat jeden popisovač zabezpečení, který pokrývá všechno na daném svazku úložiště.
• Jiný systém souborů může poskytovat popisovače zabezpečení, které pokrývají různé části jednoho daného souboru.

Modely, se kterými se většina vývojářů dobře pracuje, jsou modely, které poskytují stávající systémy souborů Windows:

• Systém souborů NTFS podporuje model popisovače zabezpečení pro jednotlivé soubory (nebo adresáře). NTFS je efektivní při ukládání popisovačů zabezpečení, ukládá pouze jednu kopii každého popisovače zabezpečení, i když ho používá mnoho různých souborů.

• FAT, CDFS, UDFS nepodporují popisovače zabezpečení.

• RDBSS a SMB přesměrovač sítí poskytují podporu, která je srovnatelná s podporou poskytovanou vzdáleným svazkem.

Tyto systémy souborů ale nepředstavují všechny možné implementace zabezpečení systému Windows pro systémy souborů.

Popisovač zabezpečení Systému Windows se skládá ze čtyř různých částí:

• Identifikátor zabezpečení (SID) vlastníka objektu. Vlastník objektu má vždy možnost resetovat zabezpečení objektu. Tato schopnost zajišťuje, že se například veškerý přístup k objektu dá odebrat. Vzhledem k tomu, že i když vlastníci odeberou schopnost provádět všechny operace, tato vlastní práva jim umožní obnovit svá bezpečnostní práva k objektu.

• Volitelný identifikátor zabezpečení (SID) výchozí skupiny objektu. Koncept vlastnictví skupiny je takový, který se ve Windows nevyžaduje, ale je užitečný pro některé aplikace.

• Seznam řízení přístupu systému (SACL), který popisuje zásady auditování popisovače zabezpečení.

• Diskreční seznam řízení přístupu (DACL), který popisuje zásady přístupu dané popisovačem zabezpečení.

Následující obrázek znázorňuje popisovač zabezpečení systému Windows.

Popisovače zabezpečení jsou objekty s proměnlivou velikostí, přičemž každá z jednotlivých dílčích částí je také proměnná ve velikosti. Pro usnadnění offline ukládání popisovačů zabezpečení může být popisovač zabezpečení v relativním formátu. V takovém případě je hlavička posunem v datovém prostoru k určité komponentě popisovače zabezpečení. Formát v paměti se skládá z hodnot ukazatelů na různé části popisovače zabezpečení. Pro systém souborů je obvykle nejužitečnější vlastní formát, protože umožňuje jednoduché ukládání a načítání popisovače zabezpečení z trvalého úložiště. Aplikace, které sestavují popisovače zabezpečení, budou pravděpodobně používat formát v paměti. Referenční monitor zabezpečení poskytuje rutiny pro konverzi z jednoho formátu na druhý.

Tato část obsahuje následující články:

Identifikátor zabezpečení

Maska přístupu

Položka řízení přístupu

Seznam řízení přístupu