Protección de objetos y atributos

Una lista de control de acceso (ACL) protege todos los objetos de Active Directory Domain Services. Las ACL determinan quién puede ver el objeto, qué atributos pueden leer y qué acciones puede realizar cada usuario en el objeto. La existencia de un objeto o un atributo nunca se revela a un usuario no autorizado.

Una ACL es una lista de entradas de control de acceso (ACE) almacenadas con el objeto que protege. En Windows NT y Windows 2000, una ACL se almacena como un valor binario, denominado descriptor de seguridad. Cada ACE contiene un identificador de seguridad (SID), que identifica la entidad de seguridad (usuario o grupo) a la que se aplica la ACE y datos sobre qué tipo de acceso concede o deniega la ACE.

Las ACL para los objetos de directorio contienen ACL que se aplican al objeto en su conjunto y ACL que se aplican a los atributos individuales del objeto. Esto permite a un administrador controlar no solo qué usuarios pueden ver un objeto, sino también qué propiedades pueden ver esos usuarios. Por ejemplo, es posible que a todos los usuarios se les conceda acceso de lectura a los atributos de número de correo electrónico y de teléfono para todos los demás usuarios, pero es posible que se denieguen las propiedades de seguridad de todos los miembros de un grupo de administradores de seguridad especial. Es posible que a los usuarios individuales se les conceda acceso de escritura a atributos personales, como las direcciones telefónicas y postales en sus propios objetos de usuario.