Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

62 Kapitel 3: Objekte: Was Sie wollen
Abbildung 3.3 Die Größe des ACE ist variabel, weil er eine SID enthält, deren Größe schwanken kann
Der erste Teil eines ACE ist das Größenattribut. Dies ist wiederum ein 16-Bit-Wert, aber
offensichtlich kann ein ACE nicht so groß sein, weil er dann nicht mehr in eine ACL passen
würde. Der ACE hat aber eine variable Länge, weil er eine SID enthält, deren Größe nicht
fest ist. Die SID definiert, für welches Subjekt der ACE gilt. Der ACE hat außerdem einen
Satz von 8 Flags und 8 Bits, die den ACE-Typ definieren. Die Flags definieren, wie der ACE
erstellt oder verarbeitet wurde. Tabelle 3.2 beschreibt die wichtigsten Flags, wiederum mit
den SDDL-Verknüpfungen (Security Descriptor Definition Language). Diese SDDL-Verknüpfungen
werden im Abschnitt »Security Descriptor Definition Language« weiter unten
in diesem Kapitel genauer beschrieben.
Tabelle 3.2 Wichtige ACE-Flags
Flag SDDL-Verknüpfung
Bedeutung
OBJECT_INHERIT_ACE OI Dieser ACE sollte von untergeordneten Objekten geerbt werden.
CONTAINER_INHERIT_ACE CI Dieser ACE sollte von untergeordneten Containern geerbt werden.
NO_PROPAGATE_INHERIT_ACE NP Dieser ACE wird an untergeordnete Objekte vererbt, aber nur auf
der nächsten Hierarchieebene. Sobald der ACE einmal vererbt
wurde, löscht das System die OI- und/oder CI-Flags.
INHERIT_ONLY_ACE IO Dieser ACE wird nur vererbt. Er steuert nicht den Zugriff auf das
Objekt, für das der ACE ursprünglich definiert wurde.
INHERITED_ACE ID Dieser ACE wurde von einem übergeordneten Objekt geerbt.
SUCCESSFUL_ACCESS_ACE_
FLAG
SA Dieser ACE gehört zu einer SACL und löst Überwachungsereignisse
für erfolgreiche Zugriffsversuche aus.
FAILED_ACCESS_ACE_FLAG FA Dieser ACE gehört zu einer SACL und löst Überwachungsereignisse
für fehlgeschlagene Zugriffsversuche aus.
Wie Sie in Tabelle 3.2 sehen, dienen die ACE-Flags in erster Linie dazu, das Vererbungsverhalten
des ACE zu steuern. Sie werden aber auch dazu benutzt, das Verhalten eines ACE in
einer SACL zu definieren.
Wie bereits erwähnt, werden 8 Bits für den ACE-Typ verwendet. Tabelle 3.3 zeigt die wichtigsten
ACE-Typen.
Diese Flags und Typen mögen auf den ersten Blick seltsam wirken. Wenn wir aber weiter
unten in diesem Kapitel zu SDDL kommen, wird klar werden, dass Sie wissen müssen, was
alle diese Typen und Flags bedeuten. Nur dann können Sie Berechtigungen interpretieren
und definieren.