Настройка дескрипторов безопасности в новых объектах каталога
При создании нового объекта в службах домен Active Directory можно явно создать дескриптор безопасности, а затем задать этот дескриптор безопасности в качестве свойства nTSecurityDescriptor объекта. Дополнительные сведения см. в разделе "Создание дескриптора безопасности" для нового объекта каталога.
службы домен Active Directory используют следующие правила, чтобы задать DACL в дескрипторе безопасности нового объекта:
- Если при создании объекта явно указан дескриптор безопасности, система объединяет все наследуемые acEs из родительского объекта в указанный daCL, если SE_DACL_PROTECTED бит не задан в битах элемента управления дескриптора безопасности.
- Если дескриптор безопасности не указан, система создает DACL объекта путем объединения всех наследуемых acEs из родительского объекта в daCL по умолчанию из объекта classSchema для класса.
- Если схема не имеет DACL по умолчанию, daCL объекта является daCL по умолчанию из первичного или олицетворения маркера создателя.
- Если параметр DACL не указан, наследуется или по умолчанию, система создает объект без DACL, что позволяет всем пользователям получить полный доступ к объекту.
Система использует аналогичный алгоритм для создания SACL для объекта службы каталогов.
Владелец и основная группа в дескрипторе безопасности нового объекта задаются значениями, указанными в свойстве nTSecurityDescriptor при создании объекта. Если эти значения не заданы, домен Active Directory службы используют правила, перечисленные в следующей таблице, чтобы задать их.
| Правило | Description |
|---|---|
| Ответственный | Владелец в дескрипторе безопасности по умолчанию имеет идентификатор безопасности владельца по умолчанию из первичного или олицетворения маркера процесса создания. Для большинства пользователей идентификатор владельца по умолчанию совпадает с идентификатором безопасности, который определяет учетную запись пользователя. Помните, что для пользователей, являющихся членами встроенной группы администраторов, система автоматически задает идентификатор владельца по умолчанию в маркере доступа группе администраторов; поэтому объекты, созданные членом группы администраторов, обычно принадлежат группе администраторов. Чтобы получить или задать владельца по умолчанию в маркере доступа, вызовите функцию GetTokenInformation или SetTokenInformation со структурой TOKEN_OWNER. |
| Основная группа | Основная группа в дескрипторе безопасности по умолчанию имеет основную группу по умолчанию из первичного или олицетворения маркера олицетворения создателя. Помните, что основная группа не используется в контексте служб домен Active Directory. |
Дополнительные сведения о наследовании ACE см. в разделе "Наследование и делегирование Администратор istration".
Дополнительные сведения о дескрипторах безопасности по умолчанию в схеме см . в дескрипторе безопасности по умолчанию.
Дополнительные сведения о объектах classSchema см. в разделе "Схема Active Directory".