Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

60 Kapitel 3: Objekte: Was Sie wollen
Flagname SDDL-
Flag
Flagwert Beschreibung
SE_DACL_DEFAULTED 0x0008 Die DACL wurde durch einen Standardmechanismus festgelegt,
nicht explizit. Das ist üblich bei Systemobjekten, aber
nicht bei Dingen wie Dateisystemobjekten, Registrierungsschlüsseln
und so weiter.
SE_SACL_PRESENT 0x0010 Diese SD enthält einen Zeiger auf eine SACL.
SE_SACL_DEFAULTED 0x0020 Die SACL wurde durch einen Standardmechanismus eingetragen.
SE_DACL_AUTO_INHERIT_
REQ
SE_SACL_AUTO_INHERIT_
REQ
AR 0x0100 Die DACL muss an untergeordnete Objekte vererbt werden.
Falls dieses Flag zum Beispiel bei einem Verzeichnis gesetzt
ist, erben Unterverzeichnisse und Dateien die DACL. Dieses
Flag definiert einen alten Vererbungsmechanismus, der in
erster Linie in Windows NT 4.0 und seinen Vorgängern verwendet
wurde. Das Flag wird von den meisten modernen
Tools ignoriert. Neuere Windows-Versionen unterstützen die
Vererbung einzelner Einträge in der ACL.
0x0200 Die SACL muss an untergeordnete Objekte vererbt werden.
Wie beim entsprechenden DACL-Flag wird dieser Mechanismus
nicht mehr verwendet.
SE_DACL_AUTO_INHERITED AI 0x0400 Die DACL wurde von einem übergeordneten Objekt geerbt,
zum Beispiel einem Verzeichnis.
SE_SACL_AUTO_INHERITED 0x0800 Die SACL wurde von einem übergeordneten Objekt geerbt.
SE_DACL_PROTECTED P 0x1000 Die DACL ist gegen Vererbung geschützt. Das bedeutet, dass
die DACL eines übergeordneten Objekts die DACL des untergeordneten
Objekts nicht überschreibt.
SE_SACL_PROTECTED 0x2000 Die SACL ist geschützt.
Zugriffsteuerungslisten
Der vierte Zeiger in der Sicherheitsbeschreibung verweist auf eine DACL (Discretionary
Access Control List). Eine DACL ist einer von drei unterschiedlichen Typen von Zugriffssteuerungslisten
(Access Control List, ACL). Windows unterstützt zwei dieser drei Typen.
Die drei ACL-Typen werden für unterschiedliche Zwecke verwendet. Eine ACL dient normalerweise
dazu, Berechtigungen für ein Objekt zu definieren. DACLs und MACLs (Mandatory
Access Control List) haben diesen Zweck.
Normalerweise ist eine DACL gemeint, wenn wir über eine ACL in Windows reden. Eine
DACL kann vom Administrator oder Objektbesitzer verwaltet werden. Der Administrator
kann zum Beispiel einem anderen Benutzer die Berechtigung gewähren, in ein Objekt zu
schreiben. Das System, das die Berechtigungen durchsetzt, sorgt dafür, dass die definierten
Regeln eingehalten werden. Wenn der Administrator denkt, dass der andere Benutzer keinen
Zugriff mehr auf das Objekt braucht, kann er die Berechtigungen ändern. Das System hat
nur die Aufgabe, die Berechtigungen durchzusetzen, die der Administrator, der Besitzer oder
ein anderer Benutzer, der die Berechtigung zum Ändern von Berechtigungen besitzt, festgelegt
hat. Die Berechtigungen werden also immer von irgendwelchen Benutzern gesteuert.