DCOM-Sicherheitsverbesserungen in Windows XP Service Pack 2 und Windows Server 2003 Service Pack 1

Windows Server XP Service Pack 2 (SP2) und Windows Server 2003 Service Pack 1 (SP1) bieten erweiterte Standardsicherheitseinstellungen für das Verteilte Komponentenobjektmodell (Distributed Component Object Model, DCOM). Insbesondere führen sie präzisere Rechte ein, die es einem Administrator ermöglichen, unabhängige Kontrolle über lokale und Remoteberechtigungen zum Starten, Aktivieren und Zugreifen auf COM-Server zu haben.

Was macht DCOM?

Das Microsoft Component Object Model (COM) ist ein plattformunabhängiges, verteiltes, objektorientiertes System zum Erstellen binärer Softwarekomponenten, die interagieren können. Das Verteilte Komponentenobjektmodell (Distributed Component Object Model, DCOM) ermöglicht es Anwendungen, über Standorte verteilt zu werden, die für Sie und für die Anwendung am sinnvollsten sind. Das DCOM-Drahtprotokoll bietet transparent Unterstützung für zuverlässige, sichere und effiziente Kommunikation zwischen COM-Komponenten.

Für wen gilt dieses Feature?

Wenn Sie COM nur für In-Process-COM-Komponenten verwenden, gilt dieses Feature nicht für Sie.

Dieses Feature gilt für Sie, wenn Sie über eine COM-Serveranwendung verfügen, die eines der folgenden Kriterien erfüllt:

• Die Zugriffsberechtigung für die Anwendung ist weniger streng als die Startberechtigung, die zum Ausführen der Anwendung erforderlich ist.
• Die Anwendung wird in der Regel von einem Remote-COM-Client aktiviert, ohne ein Administratorkonto zu verwenden.
• Die Anwendung soll nur lokal verwendet werden. Dies bedeutet, dass Sie Ihre COM-Serveranwendung einschränken können, sodass sie nicht remote zugänglich ist.

Welche neuen Funktionen werden zu diesem Feature in Windows XP Service Pack 2 und Windows Server 2003 Service Pack 1 hinzugefügt?

Computerweite Einschränkungen

In COM wurde eine Änderung vorgenommen, um computerweite Zugriffssteuerungen bereitzustellen, die den Zugriff auf alle Anruf-, Aktivierungs- oder Startanforderungen auf dem Computer steuern. Die einfachste Möglichkeit, diese Zugriffssteuerungen zu berücksichtigen, ist ein zusätzlicher AccessCheck- Anruf, der für eine computerweite Zugriffssteuerungsliste (Access Control List, ACL) für jeden Anruf, jede Aktivierung oder das Starten eines BELIEBIGEN COM-Servers auf dem Computer durchgeführt wird. Wenn die AccessCheck- fehlschlägt, wird der Aufruf, die Aktivierung oder die Startanforderung verweigert. Dies ist zusätzlich zu allen AccessCheck-, die für die serverspezifischen ACLs ausgeführt wird. Tatsächlich stellt sie einen Mindestautorisierungsstandard bereit, der übergeben werden muss, um auf jeden COM-Server auf dem Computer zuzugreifen. Es gibt eine computerweite ACL für Startberechtigungen zum Aktivieren und Starten von Rechten sowie eine computerweite ACL für Zugriffsberechtigungen, um Anrufrechte abzudecken. Diese können über die Microsoft Management Console (Component Services Microsoft Management Console, MMC) konfiguriert werden.

Diese computerweiten ACLs bieten eine Möglichkeit, schwache Sicherheitseinstellungen außer Kraft zu setzen, die von einer bestimmten Anwendung durch CoInitializeSecurity oder anwendungsspezifische Sicherheitseinstellungen angegeben werden. Dies stellt einen Mindestsicherheitsstandard bereit, der unabhängig von den Einstellungen des jeweiligen Servers übergeben werden muss.

Diese ACLs werden überprüft, wenn auf die von RPCSS verfügbar gemachten Schnittstellen zugegriffen wird. Dadurch wird eine Methode zum Steuern des Zugriffs auf diesen Systemdienst bereitgestellt.

Diese ACLs stellen einen zentralen Speicherort bereit, an dem ein Administrator eine allgemeine Autorisierungsrichtlinie festlegen kann, die für alle COM-Server auf dem Computer gilt.

Anmerkung

Das Ändern der computerweiten Sicherheitseinstellungen wirkt sich auf alle COM-Serveranwendungen aus und kann verhindern, dass sie ordnungsgemäß funktionieren. Wenn COM-Serveranwendungen einschränkungen aufweisen, die weniger streng sind als die computerweiten Einschränkungen, kann die Verringerung der computerweiten Einschränkungen diese Anwendungen möglicherweise für unerwünschten Zugriff verfügbar machen. Wenn Sie hingegen die computerweiten Einschränkungen erhöhen, sind einige COM-Serveranwendungen möglicherweise nicht mehr durch Aufrufen von Anwendungen zugänglich.

Windows XP SP2-Computereinschränkungseinstellungen sind standardmäßig:

Erlaubnis	Administrator	Jeder	Anonym
Abschießen	Lokales Startprogramm Lokale Aktivierung Remotestart Remoteaktivierung	Lokales Startprogramm Lokale Aktivierung
Zugang		Lokaler Zugriff Remotezugriff	Lokaler Zugriff

Standardmäßig sind die Einstellungen für Windows Server 2003 SP 1-Computereinschränkung wie folgt.

Erlaubnis	Administrator	Verteilte COM-Benutzer (integriert in Gruppe)	Jeder	Anonym
Abschießen	Lokales Startprogramm Lokale Aktivierung Remotestart Remoteaktivierung	Lokales Startprogramm Lokale Aktivierung Remotestart Remoteaktivierung	Lokales Startprogramm Lokale Aktivierung	N/A
Zugang	N/A	Lokaler Zugriff Remotezugriff	Lokaler Zugriff Remotezugriff	Lokaler Zugriff Remotezugriff

Anmerkung

Verteilte COM-Benutzer ist eine neue integrierte Gruppe, die in Windows Server 2003 SP1 enthalten ist, um den Prozess des Hinzufügens von Benutzern zu den DCOM-Computereinschränkungseinstellungen zu beschleunigen. Diese Gruppe ist Teil der ACL, die von der MachineAccessRestriction und MachineLaunchRestriction Einstellungen verwendet wird, sodass sich das Entfernen von Benutzern aus dieser Gruppe auf diese Einstellungen auswirkt.

Warum ist diese Änderung wichtig? Welche Bedrohungen helfen sie zu mindern?

Viele COM-Anwendungen enthalten einen sicherheitsspezifischen Code (z. B. das Aufrufen von CoInitializeSecurity), aber verwenden Sie schwache Einstellungen, die häufig nicht authentifizierten Zugriff auf den Prozess ermöglichen. Es gibt derzeit keine Möglichkeit, dass ein Administrator diese Einstellungen außer Kraft setzt, um die Sicherheit in früheren Versionen von Windows zu erzwingen.

DIE COM-Infrastruktur umfasst rpcSS, einen Systemdienst, der beim Systemstart ausgeführt wird und danach immer ausgeführt wird. Es verwaltet die Aktivierung von COM-Objekten und der ausgeführten Objekttabelle und stellt Hilfsdienste für DCOM-Remoting bereit. Sie macht RPC-Schnittstellen verfügbar, die remote aufgerufen werden können. Da einige COM-Server den nicht authentifizierten Remotezugriff zulassen, können diese Schnittstellen von jedem aufgerufen werden, einschließlich nicht authentifizierter Benutzer. Daher kann RPCSS von böswilligen Benutzern auf Remotecomputern, nicht authentifizierten Computern angegriffen werden.

In früheren Versionen von Windows gab es keine Möglichkeit für einen Administrator, die Expositionsstufe der COM-Server auf einem Computer zu verstehen. Ein Administrator hat eine Vorstellung von der Belichtungsstufe erhalten, indem die konfigurierten Sicherheitseinstellungen für alle registrierten COM-Anwendungen auf dem Computer systematisch überprüft werden, aber da es etwa 150 COM-Server in einer Standardinstallation von Windows gibt, war diese Aufgabe entmutigend. Es gab keine Möglichkeit, die Einstellungen für einen Server anzuzeigen, der Sicherheit in die Software integriert, kurz zur Überprüfung des Quellcodes für diese Software.

Computerweite DCOM-Einschränkungen mindern diese drei Probleme. Außerdem bietet er einem Administrator die Möglichkeit, eingehende DCOM-Aktivierung, -Start und -Anrufe zu deaktivieren.

Was funktioniert anders?

Standardmäßig wird die Gruppe "Jeder" dem lokalen Start, der lokalen Aktivierung und den Berechtigungen für den lokalen Zugriff erteilt. Dadurch können alle lokalen Szenarien ohne Änderung der Software oder des Betriebssystems funktionieren.

Standardmäßig wird in Windows XP SP2 die Gruppe "Jeder" Den Remotezugriffsanrufberechtigungen erteilt. In Windows Server 2003 SP1 erhalten die Gruppen "Jeder" und "Anonym" Remotezugriffsberechtigungen. Dies ermöglicht die meisten COM-Clientszenarien, einschließlich des gängigen Falls, in dem ein COM-Client einen lokalen Verweis auf einen Remoteserver übergibt, wodurch der Client in einen Server umgewandelt wird. In Windows XP SP2 kann dies Szenarien deaktivieren, die nicht authentifizierte Remotezugriffsaufrufe erfordern.

Standardmäßig erhalten nur Mitglieder der Gruppe "Administratoren" Remoteaktivierung und -startberechtigungen. Dadurch werden Remoteaktivierungen von Nichtadministratoren auf installierten COM-Servern deaktiviert.

Wie behebt ich diese Probleme?

Wenn Sie einen COM-Server implementieren und die Remoteaktivierung von einem nicht administrativen COM-Client unterstützen möchten, sollten Sie überlegen, ob das Risiko, das mit der Aktivierung dieses Prozesses verbunden ist, akzeptabel ist oder wenn Sie Ihre Implementierung ändern sollten, um keine Remoteaktivierung durch einen nicht administrativen COM-Client oder remote nicht authentifizierte Aufrufe zu erfordern.

Wenn das Risiko akzeptabel ist und Sie die Remoteaktivierung durch einen nicht administrativen COM-Client oder nicht authentifizierte Remoteaufrufe aktivieren möchten, müssen Sie die Standardkonfiguration für dieses Feature ändern.

Anmerkung

Das Ändern der computerweiten Sicherheitseinstellungen wirkt sich auf alle COM-Serveranwendungen aus und kann verhindern, dass sie ordnungsgemäß funktionieren. Wenn COM-Serveranwendungen einschränkungen aufweisen, die weniger streng sind als die computerweiten Einschränkungen, kann die Verringerung der computerweiten Einschränkungen diese Anwendungen möglicherweise für unerwünschten Zugriff verfügbar machen. Wenn Sie hingegen die computerweiten Einschränkungen erhöhen, sind einige COM-Serveranwendungen möglicherweise nicht mehr durch Aufrufen von Anwendungen zugänglich.

Sie können die Konfigurationseinstellungen entweder mithilfe der Microsoft Management Console (Component Services Microsoft Management Console, MMC) oder der Windows-Registrierung ändern.

Wenn Sie das MMC-Snap-In für Komponentendienste verwenden, können diese Einstellungen auf der Registerkarte COM-Sicherheit registerkarte des Dialogfelds Eigenschaften für den Computer konfiguriert werden, den Sie verwalten. Die Zugriffsberechtigungen Bereichs wurde geändert, damit Sie zusätzlich zu den Standardeinstellungen für COM-Server computerweite Grenzwerte festlegen können. Darüber hinaus können Sie separate ACL-Einstellungen für lokalen und Remotezugriff sowohl unter Grenzwerten als auch standardwerten bereitstellen.

Im Bereich Start- und Aktivierungsberechtigungen Bereich können Sie die lokalen und Remoteberechtigungen sowie die computerweiten Grenzwerte und die Standardwerte steuern. Sie können sowohl lokale als auch Remoteaktivierung angeben und Berechtigungen unabhängig starten.

Alternativ können Sie diese ACL-Einstellungen mithilfe der Registrierung konfigurieren.

Diese ACLs werden an den folgenden Speicherorten in der Registrierung gespeichert:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole\MachineAccessRestriction=ACL
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole\MachineLaunchRestriction=ACL

Dies sind benannte Werte vom Typ REG_BINARY, die Daten enthalten, die die ACL der Prinzipale beschreiben, die auf eine beliebige COM-Klasse oder ein COM-Objekt auf dem Computer zugreifen können. Die Zugriffsrechte in der ACL sind:

COM_RIGHTS_EXECUTE 1
COM_RIGHTS_EXECUTE_LOCAL 2
COM_RIGHTS_EXECUTE_REMOTE 4
COM_RIGHTS_ACTIVATE_LOCAL 8
COM_RIGHTS_ACTIVATE_REMOTE 16

Diese ACLs können mit normalen Sicherheitsfunktionen erstellt werden.

Anmerkung

Um die Abwärtskompatibilität zu gewährleisten, kann eine ACL in dem Format vorhanden sein, das vor Windows XP SP2 und Windows Server 2003 SP1 verwendet wird, das nur das Zugriffsrecht COM_RIGHTS_EXECUTE verwendet, oder es kann im neuen Format vorhanden sein, das in Windows XP SP2 und Windows Server 2003 SP1 verwendet wird, das COM_RIGHTS_EXECUTE zusammen mit einer Kombination aus COM_RIGHTS_EXECUTE_LOCAL verwendet, COM_RIGHTS_EXECUTE_REMOTE, COM_RIGHTS_ACTIVATE_LOCAL und COM_RIGHTS_ACTIVATE_REMOTE. Beachten Sie, dass COM_RIGHTS_EXECUTE> immer vorhanden sein müssen; Das Fehlen dieses Rechts generiert einen ungültigen Sicherheitsdeskriptor. Beachten Sie außerdem, dass Sie das alte Format und das neue Format nicht innerhalb einer einzigen ACL kombinieren dürfen. Entweder alle Zugriffssteuerungseinträge (Access Control Entries, ACEs) dürfen nur das COM_RIGHTS_EXECUTE Zugriffsrecht gewähren, oder alle müssen COM_RIGHTS_EXECUTE zusammen mit einer Kombination aus COM_RIGHTS_EXECUTE_LOCAL, COM_RIGHTS_EXECUTE_REMOTE, COM_RIGHTS_ACTIVATE_LOCAL und COM_RIGHTS_ACTIVATE_REMOTE gewähren.

Anmerkung

Nur Benutzer mit Administratorrechten können diese Einstellungen ändern.

Welche vorhandenen Funktionen ändern sich in Windows XP Service Pack 2 und Windows Server 2003 Service Pack 1?

RPCSS wird als Netzwerkdienst ausgeführt

RPCSS ist ein wichtiger Dienst für die RPC Endpoint Mapper- und DCOM-Infrastruktur. Dieser Dienst wurde in früheren Versionen von Windows als lokales System ausgeführt. Um die Angriffsfläche von Windows zu reduzieren und eine detaillierte Verteidigung bereitzustellen, wurde die RPCSS-Dienstfunktionalität in zwei Dienste aufgeteilt. Der RPCSS-Dienst mit allen ursprünglichen Funktionen, die keine lokalen Systemberechtigungen erfordern, werden jetzt unter dem Netzwerkdienstkonto ausgeführt. Ein neuer DCOMLaunch-Dienst, der Funktionen enthält, die lokale Systemberechtigungen erfordern, werden unter dem Lokalen Systemkonto ausgeführt.

Warum ist diese Änderung wichtig?

Diese Änderung reduziert die Angriffsfläche und bietet eine tiefe Verteidigung für den RPCSS-Dienst, da eine Rechteerweiterung im RPCSS-Dienst jetzt auf die Netzwerkdienstberechtigung beschränkt ist.

Was funktioniert anders?

Diese Änderung sollte für Benutzer transparent sein, da die Kombination der RPCSS- und DCOMLaunch-Dienste dem vorherigen RPCSS-Dienst entspricht, der in früheren Versionen von Windows bereitgestellt wird.

Spezifischere COM-Berechtigungen

COM-Serveranwendungen verfügen über zwei Arten von Berechtigungen: Starten von Berechtigungen und Zugriffsberechtigungen. Starten Sie die Berechtigungssteuerungsautorisierung, um einen COM-Server während der COM-Aktivierung zu starten, wenn der Server noch nicht ausgeführt wird. Diese Berechtigungen werden als Sicherheitsdeskriptoren definiert, die in Registrierungseinstellungen angegeben sind. Zugriffsberechtigungssteuerungsautorisierung zum Aufrufen eines ausgeführten COM-Servers. Diese Berechtigungen werden als Sicherheitsdeskriptoren definiert, die der COM-Infrastruktur über die CoInitializeSecurity-API oder mithilfe von Registrierungseinstellungen bereitgestellt werden. Sowohl Start- als auch Zugriffsberechtigungen ermöglichen oder verweigern den Zugriff basierend auf Prinzipale, und unterscheiden Sie nicht, ob der Aufrufer lokal auf dem Server oder remote ist.

Die erste Änderung unterscheidet die COM-Zugriffsrechte basierend auf der Entfernung. Die beiden definierten Entfernungen sind "Lokal" und "Remote". Eine lokale COM-Nachricht wird über das Protokoll für den lokalen Remoteprozeduraufruf (Local Remote Procedure Call, LRPC) übermittelt, während eine REMOTE-COM-Nachricht über ein RPC-Hostprotokoll (Remote Procedure Call, RemoteProzeduraufruf) wie tcp (Transmission Control Protocol) eingeht.

COM-Aktivierung ist der Akt des Abrufens eines COM-Schnittstellenproxys auf einem Client durch Aufrufen CoCreateInstance oder einer seiner Varianten. Als Nebeneffekt dieses Aktivierungsprozesses muss manchmal ein COM-Server gestartet werden, um die Anforderung des Clients zu erfüllen. Eine ACL mit Startberechtigungen bestätigt, wer einen COM-Server starten darf. Eine Zugriffsberechtigungs-ACL bestätigt, wer ein COM-Objekt aktivieren oder dieses Objekt aufrufen darf, sobald der COM-Server bereits ausgeführt wird.

Die zweite Änderung besteht darin, dass die Aufruf- und Aktivierungsrechte getrennt sind, um zwei unterschiedliche Vorgänge widerzuspiegeln und die Aktivierung direkt von der Zugriffsberechtigungs-ACL in die ACL der Startberechtigung zu verschieben. Da die Aktivierung und der Start beide mit dem Abrufen eines Schnittstellenzeigers zusammenhängen, gehören Aktivierungs- und Startzugriffsrechte logisch in einer ACL zusammen. Und da Sie immer Startberechtigungen über die Konfiguration angeben (im Vergleich zu Zugriffsberechtigungen, die häufig programmgesteuert angegeben werden), bietet das Platzieren der Aktivierungsrechte in der ACL der Startberechtigung dem Administrator die Kontrolle über die Aktivierung.

Die Zugriffssteuerungseinträge für die Startberechtigung (Access Control Entries, ACEs) sind in vier Zugriffsberechtigungen unterteilt:

• Lokaler Start (LL)
• Remotestart (RL)
• Lokale Aktivierung (LA)
• Remote Activate (RA)

Der Sicherheitsdeskriptor für Zugriffsberechtigungen ist in zwei Zugriffsrechte unterteilt:

• Lokale Zugriffsaufrufe (LOCAL Access Calls, LC)
• Remotezugriffsaufrufe (RC)

Auf diese Weise kann der Administrator sehr spezifische Sicherheitskonfigurationen anwenden. Sie können z. B. einen COM-Server so konfigurieren, dass er lokale Zugriffsanrufe von allen akzeptiert, während nur Remotezugriffsanrufe von Administratoren akzeptiert werden. Diese Unterscheidungen können durch Änderungen an den COM-Berechtigungssicherheitsdeskriptoren angegeben werden.

Warum ist diese Änderung wichtig? Welche Bedrohungen helfen sie zu mindern?

Frühere Versionen der COM-Serveranwendung haben keine Möglichkeit, eine Anwendung einzuschränken, sodass sie nur lokal verwendet werden kann, ohne die Anwendung über DCOM im Netzwerk verfügbar zu machen. Wenn ein Benutzer Zugriff auf eine COM-Serveranwendung hat, hat er Zugriff sowohl für die lokale als auch für die Remoteverwendung.

Eine COM-Serveranwendung macht sich möglicherweise für nicht authentifizierte Benutzer verfügbar, um ein COM-Rückrufszenario zu implementieren. In diesem Szenario muss die Anwendung die Aktivierung auch für nicht authentifizierte Benutzer verfügbar machen, was möglicherweise nicht wünschenswert ist.

Präzise COM-Berechtigungen bieten dem Administrator Flexibilität, die COM-Berechtigungsrichtlinie eines Computers zu steuern. Diese Berechtigungen ermöglichen die Sicherheit für die beschriebenen Szenarien.

Was funktioniert anders? Gibt es Abhängigkeiten?

Zur Bereitstellung der Abwärtskompatibilität werden vorhandene COM-Sicherheitsdeskriptoren interpretiert, um sowohl lokalen als auch Remotezugriff gleichzeitig zuzulassen oder zu verweigern. Das heißt, ein Zugriffssteuerungseintrag (Access Control Entry, ACE) ermöglicht entweder sowohl lokal als auch remote oder verweigert sowohl lokal als auch remote.

Es gibt keine Abwärtskompatibilitätsprobleme für Anruf- oder Startrechte. Es gibt jedoch ein Problem mit der Kompatibilität von Aktivierungsrechten. Wenn in den vorhandenen Sicherheitsdeskriptoren für einen COM-Server die konfigurierten Startberechtigungen restriktiver als die Zugriffsberechtigungen sind und restriktiver sind als das, was für Clientaktivierungsszenarien minimal erforderlich ist, muss die ACL für die Startberechtigungen geändert werden, damit die autorisierten Clients die entsprechenden Aktivierungsberechtigungen erhalten.

Für COM-Anwendungen, die die Standardsicherheitseinstellungen verwenden, gibt es keine Kompatibilitätsprobleme. Für Anwendungen, die dynamisch mit der COM-Aktivierung gestartet werden, treten bei den meisten keine Kompatibilitätsprobleme auf, da die Startberechtigungen bereits alle Benutzer enthalten müssen, die ein Objekt aktivieren können. Andernfalls generieren solche Anwendungen Aktivierungsfehler, auch bevor Windows XP SP2 oder Windows Server 2003 SP1 angewendet wird, wenn Aufrufer ohne Startberechtigung versuchen, ein Objekt zu aktivieren und der COM-Server noch nicht ausgeführt wird.

Die Anwendungen, die sich am meisten auf Kompatibilitätsprobleme beziehen, sind COM-Anwendungen, die bereits mit einem anderen Mechanismus gestartet werden, z. B. Windows Explorer oder Dienststeuerungs-Manager. Sie können diese Anwendungen auch über eine vorherige COM-Aktivierung starten, die die Standardzugriffs- und Startberechtigungen außer Kraft setzt und Startberechtigungen angibt, die restriktiver als die Aufrufberechtigungen sind. Weitere Informationen zur Behebung dieses Kompatibilitätsproblems finden Sie unter "Wie behebt ich diese Probleme?" im nächsten Abschnitt.

Wenn ein System, das auf Windows XP SP2 oder Windows Server 2003 SP1 aktualisiert wurde, auf einen früheren Zustand zurückgesetzt wird, wird jede ACE, die bearbeitet wurde, um lokalen Zugriff, Remotezugriff oder beides zuzulassen, interpretiert, um sowohl lokalen als auch Remotezugriff zuzulassen. Jede ACE, die bearbeitet wurde, um lokalen Zugriff, Remotezugriff oder beides zu verweigern, wird interpretiert, um sowohl lokalen als auch Remotezugriff zu verweigern. Wenn Sie ein Service Pack deinstallieren, sollten Sie sicherstellen, dass keine neu festgelegten ACEs dazu führen, dass Anwendungen nicht mehr funktionieren.

Wie behebt ich diese Probleme?

Wenn Sie einen COM-Server implementieren und die Standardsicherheitseinstellungen außer Kraft setzen, vergewissern Sie sich, dass die anwendungsspezifischen Startberechtigungen ACL den entsprechenden Benutzern Aktivierungsberechtigungen erteilt. Wenn dies nicht der Fall ist, müssen Sie ihre anwendungsspezifische Startberechtigung ändern, um den entsprechenden Benutzern Aktivierungsrechte zu erteilen, damit Anwendungen und Windows-Komponenten, die DCOM verwenden, nicht fehlschlagen. Diese anwendungsspezifischen Startberechtigungen werden in der Registrierung gespeichert.

Die COM ACLs können mithilfe normaler Sicherheitsfunktionen erstellt oder geändert werden.

Welche Einstellungen werden in Windows XP Service Pack 2 hinzugefügt oder geändert?

Vorsicht

Die fehlerhafte Verwendung dieser Einstellungen kann dazu führen, dass Anwendungen und Windows-Komponenten, die DCOM verwenden, fehlschlagen.

In der folgenden Tabelle werden diese Abkürzungen verwendet:

LL - Lokaler Start

LA – Lokale Aktivierung

RL – Remotestart

RA – Remoteaktivierung

LC - Lokale Zugriffsanrufe

RC – Remotezugriffsanrufe

ACL – Zugriffssteuerungsliste

Einstellungsname	Ort	Vorheriger Standardwert	Standardwert	Mögliche Werte
MachineLaunchRestriction	HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Ole	Jeder - LL, LA, RL, RA Anonym- LL, LA, RL, RA (Dies ist ein neuer Registrierungsschlüssel. Basierend auf vorhandenem Verhalten sind dies die effektiven Werte.)	Administrator: LL, LA, RL, RA	ACL
MachineAccessRestriction-	HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Ole	Jeder - LC, RC Anonym - LC, RC (Dies ist ein neuer Registrierungsschlüssel. Basierend auf vorhandenem Verhalten sind dies die effektiven Werte.)	Jeder: LC, RC Anonym: LC	ACL
CallFailureLoggingLevel	HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Ole	Nicht zutreffend.	Dieser Registrierungsschlüssel ist nicht vorhanden; Ein fehlender Schlüssel oder Wert wird jedoch als 2 interpretiert. Dieses Ereignis wird standardmäßig nicht protokolliert. Wenn Sie diesen Wert in 1 ändern, um mit der Protokollierung dieser Informationen zu beginnen, um ihnen bei der Problembehandlung zu helfen, achten Sie darauf, die Größe Ihres Ereignisprotokolls zu überwachen, da es sich hierbei um ein Ereignis handelt, das eine große Anzahl von Einträgen generieren kann.	1 – Protokollfehler bei einem Aufruf im COM-Serverprozess immer protokollieren. 2– Protokollfehler bei einem Anruf im Anrufserverprozess nie protokollieren.
InvalidSecurityDescriptorLoggingLevel	HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Ole	Nicht zutreffend.	Dieser Registrierungsschlüssel ist nicht vorhanden; Ein fehlender Schlüssel oder Wert wird jedoch als 1 interpretiert. Dieses Ereignis wird standardmäßig protokolliert. Es sollte selten vorkommen.	1 – Protokollfehler beim Immer protokollieren, wenn die COM-Infrastruktur einen ungültigen Sicherheitsdeskriptor findet. 2 : Nie Protokollieren von Ereignisprotokollfehlern, wenn die COM-Infrastruktur einen ungültigen Sicherheitsdeskriptor findet.
DCOM:Machine Launch Restrictions in Security Descriptor Definition Language (SDDL) Syntax	(Gruppenrichtlinienobjekt) Computerkonfiguration \Windows-Einstellungen\Lokale Richtlinien \Sicherheitsoptionen	Nicht zutreffend.	Nicht definiert	Zugriffssteuerungsliste im SDDL-Format. Das Vorhandensein dieser Richtlinie überschreibt Werte in MachineLaunchRestriction, zuvor.
DCOM:Computerzugriffseinschränkungen in der SDDL-Syntax (Security Descriptor Definition Language)	(Gruppenrichtlinienobjekt) Computerkonfiguration \Windows-Einstellungen \Lokale Richtlinien \Sicherheitsoptionen	Nicht zutreffend.	Nicht definiert	Zugriffssteuerungsliste im SDDL-Format. Das Vorhandensein dieser Richtlinie überschreibt Werte in MachineAccessRestriction, zuvor.

Welche Einstellungen werden in Windows Server 2003 Service Pack 1 hinzugefügt oder geändert?

Anmerkung

Die fehlerhafte Verwendung dieser Einstellungen kann dazu führen, dass Anwendungen und Windows-Komponenten, die DCOM verwenden, fehlschlagen.

In der folgenden Tabelle werden diese Abkürzungen verwendet:

LL - Lokaler Start

LA – Lokale Aktivierung

RL – Remotestart

RA – Remoteaktivierung

LC - Lokale Zugriffsanrufe

RC – Remotezugriffsanrufe

ACL – Zugriffssteuerungsliste

Einstellungsname	Ort	Vorheriger Standardwert	Standardwert	Mögliche Werte
MachineLaunchRestriction	HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Ole	Jeder: LL, LA, RL, RA Anonym: LL, LA, RL, RA (Dies ist ein neuer Registrierungsschlüssel. Basierend auf vorhandenem Verhalten wären dies die effektiven Werte.)	Administrator: LL, LA, RL, RA Jeder: LL, LA Verteilte COM-Benutzer: LL, LA, RL, RA	ACL
MachineAccessRestriction-	HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Ole	Jeder: LC, RC Anonym: LC, RC (Dies ist ein neuer Registrierungsschlüssel. Basierend auf vorhandenem Verhalten wären dies die effektiven Werte.)	Jeder: LC, RC Anonym: LC, RC	ACL
CallFailureLoggingLevel	HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Ole	Nicht zutreffend.	Dieser Registrierungsschlüssel ist nicht vorhanden; Ein fehlender Schlüssel oder Wert wird jedoch als 2 interpretiert. Dieses Ereignis wird standardmäßig nicht protokolliert. Wenn Sie diesen Wert in 1 ändern, um mit der Protokollierung dieser Informationen zu beginnen, um ihnen bei der Problembehandlung zu helfen, achten Sie darauf, die Größe Ihres Ereignisprotokolls zu überwachen, da es sich hierbei um ein Ereignis handelt, das eine große Anzahl von Einträgen generieren kann.	1 – Protokollfehler beim Immer protokollieren, wenn die COM-Infrastruktur einen ungültigen Sicherheitsdeskriptor findet. 2 : Nie Protokollieren von Ereignisprotokollfehlern, wenn die COM-Infrastruktur einen ungültigen Sicherheitsdeskriptor findet.
InvalidSecurityDescriptorLoggingLevel	HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Ole	Nicht zutreffend.	Dieser Registrierungsschlüssel ist nicht vorhanden; Ein fehlender Schlüssel oder Wert wird jedoch als 1 interpretiert. Dieses Ereignis wird standardmäßig protokolliert. Es sollte selten vorkommen.	1 : Protokollieren Sie immer Ereignisprotokollfehler, wenn die COM-Infrastruktur einen ungültigen Sicherheitsdeskriptor findet. 2 – Protokollfehler nie protokollieren, wenn die COM-Infrastruktur einen ungültigen Sicherheitsdeskriptor findet.
DCOM:Machine Launch Restrictions in Security Descriptor Definition Language (SDDL) Syntax	(Gruppenrichtlinienobjekt) Computerkonfiguration \Windows-Einstellungen \Lokale Richtlinien \Sicherheitsoptionen	Nicht zutreffend.	Nicht definiert.	Zugriffssteuerungsliste im SDDL-Format. Das Vorhandensein dieser Richtlinie überschreibt Werte in MachineLaunchRestriction, zuvor.
DCOM:Computerzugriffseinschränkungen in der SDDL-Syntax (Security Descriptor Definition Language)	(Gruppenrichtlinienobjekt) Computerkonfiguration \Windows-Einstellungen \Lokale Richtlinien \Sicherheitsoptionen	Nicht zutreffend.	Nicht definiert.	Zugriffssteuerungsliste im SDDL-Format. Das Vorhandensein dieser Richtlinie überschreibt Werte in MachineAccessRestriction, zuvor.

Verwandte Themen

Sicherheit in COM-