Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Sicherheits-IDs 15
Dienst-SIDs
Wie bereits erwähnt, haben in Windows Vista und Windows Server 2008 auch Dienste immer
eine SID. Dienst-SIDs beginnen immer mit S-1-5-80 und enden mit einer Reihe von
Teilautoritäten, die deterministisch aus dem Namen des Dienstes abgeleitet werden. Das
bedeutet, dass ein bestimmter Dienst auf allen Computern dieselbe SID hat. Es bedeutet
auch, dass Sie die SID für einen beliebigen Dienst selbst dann ermitteln können, wenn es
diesen Dienst gar nicht gibt. Zum Beispiel können Sie sich ansehen, welche SID ein Dienst
namens »foo« hätte, indem Sie den Befehl sc showsid ausführen:
C:\>sc showsid foo
NAME: foo
DIENST-SID: S-1-5-80-2639291829-767035215-3510963033-3734144485-3832470211
Wenn Sie das auf einem Ihrer Server probieren, bekommen Sie genau dieselbe SID. Falls
Sie lieber den Anzeigenamen des Dienstes verwenden wollen, können Sie NT SERVICE\foo
eingeben.
Bekannte SIDs
Wenn ein Entwickler ein Programm für Windows schreibt, muss er oft die SID eines Sicherheitsprinzipals
kennen. Normalerweise lassen sich SIDs leicht zusammenstellen, wenn zumindest
die RID bekannt ist, weil sie lediglich an die Computer- oder Domänen-SID angehängt
wird (wie im Fall des Kontos Administrator). Oft ist es aber bequemer, wenn für bestimmte
SIDs eine kürzere und immer gleiche Form zur Verfügung steht. Daher enthält das
Sicherheitsmodell von Windows eine größere Zahl bekannter SIDs (engl. well-known SID).
Das sind SIDs, die auf allen Computern stets gleich sind. Dank dieses Sicherheitsmodells
sind einige bekannte SIDs auf allen Betriebssystemen identisch. Dies sind die SIDs, die mit
S-1-1, S-1-2 oder S-1-3 beginnen. Einige davon wurden bereits weiter oben in diesem Kapitel
erwähnt, zum Beispiel die SID für Ersteller-Besitzer: S-1-3-0.
Daneben enthält Windows NT noch viele weitere Definitionen für bekannte SIDs. S-1-5-32
zum Beispiel ist die bekannte SID für die integrierte Domäne. Sie kann wiederum mit einer
bekannten RID kombiniert werden, um eine bekannte SID für ein bestimmtes Konto zu bilden.
Zum Beispiel lautet die SID für die integrierte Gruppe Administratoren, egal ob in einer
Domäne oder auf einem eigenständigen Computer, immer S-1-5-32-544. Tabelle 1.3 führt
einige der wichtigsten domänenrelativen RIDs auf. Im Fall integrierter Gruppen können die
domänenrelativen RIDs mit S-1-5-32 kombiniert werden, um eine SID zu bilden, die auf
allen Computern gültig ist, auf denen dieser Benutzer oder die Gruppe relevant ist. Andere
Konten werden an die Domäne angehängt, um die vollständige SID zu bilden. Das ist zum
Beispiel der Fall bei Domänen-Admins, wo aus der bekannten RID 512 die SID S-1-5-21-
1534169462-1651380828-111620651-512 gebildet wird.
SIDs mögen auf den ersten Blick sehr kompliziert wirken, aber wenn Sie ihren Aufbau erst
einmal kennen, sind sie ganz einfach zu entziffern. Mit etwas Übung können Sie problemlos
erkennen, ob eine SID sich auf einen Dienst, einen bekannten Prinzipal oder einen Benutzer
in einer Domäne bezieht. In Kapitel 3 sehen wir uns an, wie mit diesen SIDs Berechtigungen
verwaltet werden.