Güvenli Cihaz Yüklemeleri Oluşturma

Bir sürücü paketi oluşturduğunuzda, cihazınızın kurulumunun her zaman güvenli bir şekilde gerçekleştirildiğinden emin olmanız gerekir. Güvenli bir cihaz kurulumu, aşağıdakileri yapar:

• cihaza ve cihaz arabirimi sınıflarına erişimi sınırlar

• cihaz için oluşturulan sürücü hizmetlerine erişimi sınırlar

• sürücü dosyalarını değiştirilmeye veya silinmeye karşı korur

• cihazın kayıt defteri girişlerine erişimi sınırlar

• cihazın WMI sınıflarına erişimi sınırlar

• SetupAPI işlevlerini doğru kullanır

Aygıt kurulumu güvenliği, güvenlik tanımlayıcıları tarafından denetlenmektedir. Güvenlik tanımlayıcılarını belirtmek için birincil araç INF dosyasıdır. Sistem varsayılan güvenlik tanımlayıcıları sağlar ve çoğu durumda bu tanımlayıcıları geçersiz kılmanız gerekmez.

Cihazlar ve Arabirimler için Güvenlik Ayarları

Sistem, tüm sistem tarafından sağlanan aygıt kurulum sınıfları için varsayılan güvenlik tanımlayıcıları sağlar. Genel olarak, bu tanımlayıcılar sistem yöneticileri için tam erişime ve kullanıcılar için okuma/yazma/yürütme erişimine izin verir. (Bir cihaza erişimi denetleen güvenlik tanımlayıcıları, varsa cihazın cihaz arabirimi sınıflarına erişimi de denetler.)

WDM sürücüleri için INF dosyaları, sistem varsayılan ayarlarını geçersiz kılan sınıf veya cihaz başına güvenlik ayarlarını belirtebilir. Yeni bir cihaz kurulum sınıfı oluşturan satıcılar sınıf için bir güvenlik tanımlayıcısı belirtmelidir. Genel olarak, cihaza özgü bir güvenlik tanımlayıcısı belirtmek gerekli değildir. Aynı sınıfa ait farklı cihaz türlerinin önemli ölçüde farklı kullanıcı türlerine sahip olması durumunda cihaza özgü bir güvenlik tanımlayıcısı sağlamak yararlı olabilir.

WDM cihaz kurulum sınıfına ait tüm cihazlar için bir güvenlik tanımlayıcısı belirtmek üzere, sınıf yükleyicisinin INF dosyasının INF ClassInstall32 bölümünde bir INF AddReg yönergesini kullanın. AddReg yönergesi, DeviceType ve Security kayıt defteri girdilerinin değerlerini ayarlayan bir add-registry-section öğesini işaret etmelidir. Bu kayıt defteri değerleri, belirtilen cihaz türündeki tüm cihazlar için bir güvenlik tanımlayıcısı belirtir.

WDM cihaz kurulum sınıfına ait tek bir cihaz için güvenlik tanımlayıcısı belirtmek üzere, cihazın INF dosyasının INF DDInstall.HW bölümünde bir INF AddReg yönergesi kullanın. AddReg yönergesi, add-registry-section içinde DeviceType ve Security kayıt defteri girdileri için değerler ayarlayan bir bölümü işaret etmelidir. Bu kayıt defteri değerleri, ilişkili INF Modelleri bölümü tarafından belirtilen donanım kimliği veya uyumlu kimliklerle eşleşen tüm cihazlar için bir güvenlik tanımlayıcısı belirtir.

Varsayılan olarak, sistem bir cihaz için ayarlanan güvenlik tanımlayıcısını, cihazı temsil eden cihaz nesnesini açma isteğine uygular (örneğin, NT cihaz adı \Device\DeviceName olan cihazı açma isteği).

Ancak, sistem varsayılan olarak cihaz için ayarlanan güvenlik tanımlayıcısını cihazın ad alanında bir nesne açma isteğine uygulamaz; burada cihaz ad alanı adları \Device\DeviceName\ObjectName biçiminde olan tüm nesneleri içerir. Aynı güvenlik ayarlarının bir cihazın ad alanındaki nesnelere yönelik açma isteklerine uygulandığından emin olmak için, cihaz için FILE_DEVICE_SECURE_OPEN cihaz özellikleri bayrağını ayarlayın. Güvenli cihaz erişimi hakkında daha fazla bilgi için bkz. Cihaz ad alanı erişimini denetleme (Windows Sürücüleri). FILE_DEVICE_SECURE_OPEN cihaz özellikleri bayrağının nasıl ayarlanacağı hakkında bilgi için bkz. Cihaz Özelliklerini Belirtme (Windows Sürücüleri).

PnP yöneticisi, bir sürücünün AddDevice yordamını çağırdıktan sonra cihaz nesnelerinde güvenlik değerlerini ayarlar. Bazı WDM sürücüleri , IoCreateDeviceSecure çağrısı yaparak fiziksel cihaz nesnesi (PDO) oluştururken cihaza özgü bir güvenlik tanımlayıcısı belirtebilir. Daha fazla bilgi için bkz. Cihaz Nesnelerinin Güvenliğini Sağlama.

Sürücü Dosyaları için Güvenlik Ayarları

INF CopyFiles yönergesini kullanarak dosyaları kopyalarken, dosya-listesi-bölümü.güvenlik bölümünü belirtmek mümkündür. Bu bölüm, CopyFiles yönergesi tarafından kopyalanan tüm dosyalar için bir güvenlik tanımlayıcısı belirtir. Ancak, yükleme hedefi %SystemRoot%sistem alt dizinlerinden biriyse satıcıların sürücü dosyaları için bir güvenlik tanımlayıcısı belirtmesi gerekmez. (Bu alt dizinler hakkında daha fazla bilgi için bkz. Dirid kullanma.) Sistem bu alt dizinler için varsayılan güvenlik tanımlayıcıları sağlar ve varsayılan tanımlayıcılar geçersiz kılınmamalıdır.

Sürücü Hizmetleri için Güvenlik Ayarları

Sürücü INF dosyasının service-install-section'ında (bkz. INF AddService Yönergesi), bir Güvenlik girdisi ekleyebilirsiniz. Bu girdi, cihazınızla ilişkili sürücü hizmetlerini başlatma, durdurma ve yapılandırma gibi işlemleri gerçekleştirmek için gereken izinleri belirtir. Ancak, sistem sürücü hizmetleri için varsayılan bir güvenlik tanımlayıcısı sağlar ve bu varsayılan tanımlayıcının genellikle geçersiz kılınması gerekmez.

Cihaz ve Sürücü Kayıt Defteri Girdileri için Güvenlik Ayarları

INF dosyalarında INF AddReg yönergelerini kullanarak kayıt defteri girdilerini belirtirken, her add-registry-section için bir add-registry-section.Security bölümü ekleyebilirsiniz. Add-registry-section. Güvenlik bölümü, ilişkili add-registry-section bölümü tarafından oluşturulan kayıt defteri girdilerine erişim izinlerini belirtir. Sistem, HKR göreli kökü altında oluşturulan tüm kayıt defteri girdileri için varsayılan bir güvenlik tanımlayıcısı sağlar. Bu nedenle, göreli kök altında kayıt defteri girdileri oluştururken bir güvenlik tanımlayıcısı belirtmeniz gerekmez.

WMI Sınıfları için Güvenlik Ayarları

Sistem, WMI sınıflarını tanımlayan GUID'lere varsayılan güvenlik tanımlayıcıları atar. Windows XP ve önceki işletim sistemi sürümleri için, WMI GUID'leri için varsayılan güvenlik tanımlayıcısı tüm kullanıcılara tam erişim sağlar. Windows Server 2003'den başlayarak, varsayılan güvenlik tanımlayıcısı yalnızca yöneticilerin erişimine izin verir.

Sürücünüz WMI sınıflarını tanımlıyorsa ve bu sınıflar için sistemin varsayılan güvenlik tanımlayıcılarını kullanmak istemiyorsanız, cihazın INF dosyasında bir INF DDInstall.WMI bölümü kullanarak güvenlik tanımlayıcıları sağlayabilirsiniz.

SetupAPI İşlevlerini Doğru Kullanma

Sürücü paketiniz KurulumAPI işlevlerini çağıran yükleyiciler, ortak yükleyiciler veya diğer yükleme uygulamaları içeriyorsa, KurulumAPI'yi kullanma yönergelerini izlemeniz gerekir.

Yükleme Güvenlik Ayarlarını Test Etme

Cihazınızın kurulumu ile ilişkili güvenlik ayarlarının doğru şekilde belirtildiğini doğrulamak için SetupAPI günlüğünü kullanın. Günlük düzeyini ayrıntılı (0x0000FFFF) olarak ayarlayın, ardından çeşitli yükleme senaryolarını deneyin.

Bu tür senaryolar, hem kullanıcı hesaplarından hem de sistem yöneticisi hesaplarından hem ilk yüklemeleri hem de yeniden yüklemeleri içermelidir. Yazılımı yüklemeden önce cihazınızı takmayı deneyin ve tam tersi de geçerlidir.

Yükleme başarılı olursa, hata oluşmadığını onaylamak için günlüğü görüntüleyin. Yükleme başarısız olursa, hatanın nedenini belirlemek için günlüğü görüntüleyin.

Ayrıca, yükleme tamamlandıktan sonra aşağıdakileri yapabilirsiniz:

• Kayıt defteri girdisine atanan güvenlik ayarlarını görüntülemek için Kayıt Defteri Düzenleyicisi'ni kullanın.

• Bir dosyaya atanan güvenlik ayarlarını görüntülemek için Bilgisayarım'ı kullanın.