Active Directory.pdf - Gattner

322 Kapitel 9: Delegieren der Active Directory-Domänendiensteverwaltung
• System-Zugriffssteuerungsliste (System Access Control List, SACL) Definiert die Überwachungseinstellungen
für ein Objekt, u.a. welcher Sicherheitsprinzipal und welche Vorgänge überwacht
werden sollen.
Abbildung 9.1 zeigt die Architektur für das Zugriffstoken eines Benutzers und die Sicherheitsbeschreibung
eines Objekts. Beim Versuch eines Benutzers, auf eine Netzwerkressource oder ein
Active Directory-Objekt zuzugreifen, wird eine Zugriffsüberprüfung durchgeführt und jeder ACE
wird untersucht, bis eine übereinstimmende Benutzer- oder Gruppen-SID ermittelt wird. Der Zugriff
wird anschließend basierend auf den für den ACE konfigurierten Berechtigungen erteilt oder verweigert.
Zugriffsüberprüfung
Benutzerzugriffstoken
Sicherheitsbeschreibung
eines Objekts
SID des Benutzers
SIDs der Gruppe
SID des Besitzers
SID der
primären Gruppe
SACL
ACE
Liste mit
Berechtigungen
und weiteren
Zugriffsinformationen
ACE
DACL
ACE
ACE
ACE
ACE
Abbildung 9.1
eines Objekts
Zugriffsüberprüfung zwischen dem Zugriffstoken eines Benutzers und der Sicherheitsbeschreibung
Auswerten von Verweigern- und Zulassen-ACEs in einer DACL
ACEs werden innerhalb einer DACL mit einer bestimmten Reihenfolge aufgeführt. Dies wirkt sich
direkt auf das Ergebnis der Zugriffsüberprüfung aus. Während einer Zugriffsüberprüfung werden die
ACEs mit einer bestimmten Reihenfolge ausgewertet. Diese Auswertungsreihenfolge ist im Folgenden
aufgeführt:
• Explizit zugewiesene ACEs werden vor vererbten ACEs ausgewertet.
• Innerhalb einer Gruppe aus expliziten oder vererbten ACEs werden Verweigern-ACEs immer vor
Zulassen-ACEs ausgewertet.
Abbildung 9.2 zeigt, wie Berechtigungen zum Zulassen oder Verweigern von Zugriff für explizite und
vererbte ACEs ausgewertet werden.