Protezione degli oggetti e degli attributi

Un elenco di controllo di accesso (ACL) protegge tutti gli oggetti in Servizi di dominio Active Directory. Gli ACL determinano chi può visualizzare l'oggetto, quali attributi possono leggere e quali azioni ogni utente può eseguire sull'oggetto. L'esistenza di un oggetto o di un attributo non viene mai rivelata a un utente non autorizzato.

Un ACL è un elenco di voci di controllo di accesso archiviate con l'oggetto protetto. In Windows NT e Windows 2000 un ACL viene archiviato come valore binario, denominato descrittore di sicurezza. Ogni ACE contiene un ID di sicurezza (SID), che identifica l'entità (utente o gruppo) a cui si applica l'ace e i dati relativi al tipo di accesso concesso o negato dall'ace.

Gli ACL per gli oggetti directory contengono ACL che si applicano all'oggetto nel suo complesso e gli ACL che si applicano ai singoli attributi dell'oggetto. Ciò consente a un amministratore di controllare non solo quali utenti possono visualizzare un oggetto, ma anche quali proprietà possono visualizzare gli utenti. Ad esempio, a tutti gli utenti potrebbe essere concesso l'accesso in lettura agli attributi del numero di posta elettronica e del numero di telefono per tutti gli altri utenti, ma le proprietà di sicurezza degli utenti potrebbero essere negate a tutti i membri di un gruppo di amministratori della sicurezza speciale. Ai singoli utenti potrebbe essere concesso l'accesso in scrittura agli attributi personali, ad esempio gli indirizzi telefonici e postali sui propri oggetti utente.