Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Terminologie der Zugriffssteuerung 71
Das Vererbungsverhalten des ACE wird beim Erstellen festgelegt. Die Dropdownliste Übernehmen
für in Abbildung 3.9 stellt Kombinationen der bekannten Vererbungsflags bereit.
Tabelle 3.5 führt die angebotenen Kombinationen auf.
Tabelle 3.5 Vererbungsmöglichkeiten in der ACL-UI und die zugehörigen Flagkombinationen
ACL-UI-Begriff Flags
Nur diesen Ordner
Diesen Ordner, Unterordner und Dateien OI CI (Objekt erben, Container erben)
Diesen Ordner, Unterordner CI
Diesen Ordner, Dateien OI
Nur Unterordner und Dateien OI CI IO (nur erben)
Nur Unterordner CI IO
Nur Dateien OI IO
Berechtigungen nur für Objekte und/oder Container
in diesem Container übernehmen
NP (keine Vererbungsweitergabe für ACE)
Es dauert etwas, um sich in die Vererbung einzuarbeiten, aber wenn Sie erst einmal die
Grundkonzepte verstanden haben, wird das Thema beherrschbar. Die größte Schwierigkeit
besteht darin zu wissen, wie die Folgen für große Hierarchien aussehen. Sie müssen die
folgenden Kernkonzepte kennen:
Containervererbung bewirkt, dass ACEs von Containern geerbt werden. Die Objektvererbung
bewirkt dagegen, dass ACEs von Objekten geerbt werden. Außerdem müssen Sie
wissen, wie für einen bestimmten Objekttyp die Definition von Container und Objekt
aussieht.
Eine geschützte ACL überschreibt die gesamte Vererbung von ihren übergeordneten
Objekten.
Ein ACE, der nur vererbt wird, steuert nicht den Zugriff auf den Container, in dem er
definiert wurde.
Ein ACE, der nicht vererbt wird, gilt nur für den Container, in dem der definiert ist.
Damit Sie das Thema Vererbung wirklich beherrschen, müssen Sie allerdings auch wissen,
wie die eigentlichen ACEs bei einer Zugriffsprüfung ausgewertet werden. Daher beschäftigen
wir uns als Nächstes mit diesem Thema. Zuerst müssen wir dafür das Konzept eines
Sicherheitstokens verstehen.
Sicherheitstoken
Wenn sich ein Benutzer an einem Windows-Computer anmeldet, erstellt das Betriebssystem
ein Token für diesen Benutzer. Das Token gibt an, wer der Benutzer (das Subjekt) ist, bei
welchen Gruppen er Mitglied ist und welche Privilegien er hat. In manchen Fällen erstellt
das Betriebssystem sogar zwei Token für das Subjekt, wenn die Benutzerkontensteuerung
(User Account Control, UAC) aktiv ist. Mehr dazu finden Sie in Kapitel 4, »Grundlagen der
Benutzerkontensteuerung«.
Sie können sich die Token im Microsoft-Tool Process Explorer ansehen, das Sie unter
http://www.microsoft.com/technet/sysinternals/ProcessesAndThreads/ProcessExplorer.mspx
herunterladen können (dieses Tool steht nur in englischer Sprache zur Verfügung). Abbil-