Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

80 Kapitel 3: Objekte: Was Sie wollen
SDDL zeigt verzeichnisspezifische Abkürzungen, wenn Sie sich die Berechtigungen für eine
Datei ansehen, weil das Modul, das die SDDL generiert, nichts über Objekttypen weiß. Es
liest einfach die Zugriffsmaske und gibt dafür die am besten passenden Berechtigungsangaben
aus einer Enumeration aus. Die verzeichnisspezifischen Berechtigungen stehen in der
Enumeration schlicht am Anfang, und daher bekommen wir sie hier angezeigt.
Dasselbe passiert im fünften ACE. Hier ist DC angegeben, die Abkürzung für ADS_RIGHT_
DS _DELETE_CHILD. Diese Konstante steht für 0x2, es wird als Bit 2 gesetzt. Bei einem Active
Directory-Objekt gibt Ihnen das das Recht, ein untergeordnetes Objekt zu löschen. In einem
Verzeichnis gibt Ihnen Bit 2 dagegen das Recht, eine Datei im Verzeichnis anzulegen. Zusammen
geben diese beiden ACEs Benutzern das Recht, neue Unterverzeichnisse zu erstellen
und Dateien in Unterverzeichnissen anzulegen.
Schließlich haben wir noch einen ACE für den Ersteller/Besitzer (CO für Creator/Owner).
Dies ist ein weiterer ACE, der nur vererbt wird und auf alle untergeordneten Objekte angewendet
wird. Er gewährt dem Subjekt, das ein untergeordnetes Objekt erstellt, Vollzugriff
(GA) für das untergeordnete Objekt.
Abbildung 3.14 zeigt, wie die Kombination dieser ACEs in der Benutzeroberfläche angezeigt
wird.
Abbildung 3.14 In der ACL-UI können Sie prüfen, ob Sie die SDDL-Zeichenfolge
richtig interpretiert haben
Sie sollten jetzt besser als die meisten verstehen, wie die Zugriffssteuerung in Windows
funktioniert. Sie haben sogar eine Reihe von Tools kennengelernt, mit denen Sie Berechtigungen
verwalten können. Im nächsten Abschnitt arbeiten wir uns etwas tiefer in das Thema
ein, wobei wir uns auf die Tools konzentrieren.