9月16日笔记

访问控制列表

访问控制列表(ACL)是访问控制项(Access Control Entry , ACE)的列表。安全对象的安全描述可以通过两种访问控制列表DACL和SACL进行。

DACL

DACL 是由一条条的访问控制项(ACE)条目构成的,每条ACE定义了哪些用户或组对该对象拥有怎样的访问权限。DACL 中的每个 ACE 可以看作配置的一条访问策略,每个 ACE 指定了一组访问权限,并包含一个 SID。该 SID 标识了允许或拒绝访问该安全对象的安全主体。

为了描述简洁,可以把一条 ACE 归纳为如下4方面:①谁对这个安全对象拥有权限;② 拥有什么权限;③ 这个权限是允许还是拒绝;④ 这个权限能不能被继承。

当安全主体访问该安全对象时,Windows会检查安全主体的 SID和安全对象 DACL中的 ACE 配置策略,根据找到的 ACE 配置策略对安全主体的访问行为允许或拒绝。如果该安全对象没有设置 DACL,那么系统默认允许所有访问操作;如果安全对象配置了DACI 但是没有配置 ACE 条目,那么系统将拒绝所有访问操作;如果系统配置了 DACL和 ACE,那么系统将按顺序读取 ACE,直到找到一个或多个允许或拒绝安全对象访问行

为的 ACE。

举例说明:讲解ACL判断用户的访问权限的过程。

安全主体 PrincipalA: SID=110, GroupSID=120, GroupSID=130

安全主体 PrincipalB: SID=210,GroupSID=220,GroupSID=230

安全主体 PrincipalC:SID=310,GroupSID=320,GroupSID=330.

安全对象 ObjectD:ACE1,拒绝 SID=210 的对象访问; ACE2,允许 SID=110 和 SID=220 的对象访问。

这三个主体都想访问ObjectD,但并不是都可以访问。

  1. 当 PrincipalA 访问安全对象D时:检查A的用户/用户组的 SID与ObjectD 的 ACE配置策略,首先判断 ACE1,此时没匹配上;然后判断 ACE2,此时可以匹配上,则允许PrincipalA 对 ObjectD 进行访问。
  2. 当 PrincipalB 访问 ObjectD 时:检查 PrincipalB 的用户/用户组的 SID 与 ObjectD的 ACE 配置策略,首先判断 ACE1,此时可以匹配上,则直接拒绝 PrincipalB 的访问。
  3. 当 PrincipalC 访间 ObiectD 时:检査 PrincipalC 的用户/用户组的 SID 与 ObiectD的 ACE 配置策略,若两条 ACE 都没有匹配上,则直接拒绝 PrincipalB 的访问。
SACL

SACL(System Access ControlList,系统访问控制列表)是安全主体对安全对象的访问行为的审计策略。SACI 也由一条一条的 ACE 条目构成,每条 ACE 定义了对哪些安全主体的哪些访问行为进行日志记录,如对指定用户的访问成功、失败行为进行审计记录日志。安全主体的访问行为满足这条 ACE 时就会被记录。

查看与修改访问控制列表(icacls)

icacls 是一种命令行工具,使用 icacls 命令可以查看或修改指定文件上的访问控制列表(ACL),并将存储的 DACL 应用于指定目录中的文件。

icacls "文件名或目录名" [/grant 用户名:权限] [/deny 用户名:权限] [/remove 用户名] [/save 文件名] [/restore 文件名] [/setowner 用户名] [/T] [/C] [/L] [/Q]
  • <font style="color:rgb(192, 52, 29);background-color:rgb(251, 229, 225);">文件名或目录名</font>:指定要修改权限的文件或目录的路径。
  • <font style="color:rgb(192, 52, 29);background-color:rgb(251, 229, 225);">/grant 用户名:权限</font>:为用户或组授予指定的权限。
  • <font style="color:rgb(192, 52, 29);background-color:rgb(251, 229, 225);">/deny 用户名:权限</font>:拒绝用户或组访问指定的权限。
  • <font style="color:rgb(192, 52, 29);background-color:rgb(251, 229, 225);">/remove 用户名</font>:从ACL中删除用户或组的所有条目。
  • <font style="color:rgb(192, 52, 29);background-color:rgb(251, 229, 225);">/save 文件名</font>:将ACL保存到指定的文件中,供将来恢复使用。
  • <font style="color:rgb(192, 52, 29);background-color:rgb(251, 229, 225);">/restore 文件名</font>:从保存的文件中恢复ACL。
  • <font style="color:rgb(192, 52, 29);background-color:rgb(251, 229, 225);">/setowner 用户名</font>:更改文件或目录的所有者。
  • <font style="color:rgb(192, 52, 29);background-color:rgb(251, 229, 225);">/T</font>:递归地处理所有指定目录及其子目录中的文件。
  • <font style="color:rgb(192, 52, 29);background-color:rgb(251, 229, 225);">/C</font>:在出现错误时继续执行操作。
  • <font style="color:rgb(192, 52, 29);background-color:rgb(251, 229, 225);">/L</font>:对符号链接本身进行操作,而不是对链接指向的目标进行操作。
  • <font style="color:rgb(192, 52, 29);background-color:rgb(251, 229, 225);">/Q</font>:以安静模式运行,不显示成功消息。

可授予的权限

  • <font style="color:rgb(192, 52, 29);background-color:rgb(251, 229, 225);">F</font>:完全控制
  • <font style="color:rgb(192, 52, 29);background-color:rgb(251, 229, 225);">M</font>:修改
  • <font style="color:rgb(192, 52, 29);background-color:rgb(251, 229, 225);">RX</font>:读取和执行
  • <font style="color:rgb(192, 52, 29);background-color:rgb(251, 229, 225);">R</font>:只读
  • <font style="color:rgb(192, 52, 29);background-color:rgb(251, 229, 225);">W</font>:只写
icacls C:\Users\Administrator\Desktop\test

查看指定文件的ACL。

① 在“()”中以“,”分隔的特定权限列表:DE,删除;RC,读取控制;WDAC,写入DAC;WO,写入所有者;S,同步;AS,访问系统安全性;MA,允许的最大值;GR,一般性读取;GW,一般性写入;GE,一般性执行;GA,全为一般性;RD,读取数据/列出目录;WD,写入数据/添加文件;AD,附加数据/添加子目录;REA,读取扩展属性;WEA,写入扩展属性;X,执行/遍历;DC,删除子项;RA,读取属性;WA,写入属性。

② 继承权限可以优先于每种格式,但只应用于目录:OI,对象继承;CI,容器继承,IO,仅继承;NP,不传播继承;I,从父容器继承的权限

icacls "C:\phpStudy\*" /save C:\phpStudy\aclfile.txt

将指定目录及子目录下所有文件的 ACL 备份到 aclfile.txt。

icacls "C:\phpStudy" /restore aclfile.txt

将 aclfile…txt内所有备份的文件 ACL 还原到指定目录及其子目录.

给用户Hacker添加指定文件或目录(及其子目录)的完全访问权限。

icacls C:\Users\Administrator\Desktop\test /grant Hacker:(OI)(CI)(F)/t

其中,“OI”代表对象继承,“CI”代表容器继承,“F”代表完全访问执行以下命令,删除用户Hacker对指定文件或目录(及其子目录)的完全访问权限。

icacls C:\Users\Administrator\Desktop\test /remove Hacker /t

组策略

组策略对象

组策略对象(Group Policy Object,GPO)即组策略设置的集合,其中包含应用于特定用户或计算机的策略信息和具体配置。在设置组策略时,只需将组策略对象链接到指定的站点、域和组织单位,其中的策略值便会应用到该站点、域和组织单位的所有用户和计算机。

组策略对象由组策略容器(Group Policy Container,GPC)和组策略模板(Group Policy Container,GPT)两个组件组成,在Windows中分别存储在域控制器的不同位置上。其中,组策略容器存储在活动目录的域分区组策略模板被存放在域控制器的如下文件夹中:%SYSTEMROOT%\SYSVOL\sysvol\域名\Policies。

可以使用组策略管理来查看和编辑每个GPO的设置,如下所示,可以看到两个默认组策略对象Default Domain Policy和Default Domain Controller Policy,它们在域控制器被建立时自动创建。

Default Domain Policy默认组策略对象

Default Domain Policy应用到其所在域的所有用户和计算机。例如在图1-7-2中,右侧的作用域中的这条组策略链接到了整个god.org域。

右击这条组策略,在弹出的快捷菜单中选择“保存报告”命令,就可以保存整个组策略的内容,保存类型可以为HTML。

Default Domain Controllers Policy默认组策略对象

Default Domain Controllers Policy应用到Domain Controllers中所有的用户和计算机。

1.组策略容器

组策略容器(GPC)中记录着该组策略对象的策略名称、标识组策略的GUD、组策略链接到的作用域、组策略模板的路径、组策略的版本信息等各种元数据。组策略容器存储在活动目录的域分区,例如:

CN=Policies,CN=System,DC=god,DC=org

图中可以看到两个GUID标识的两个默认组策略对象。选中一个右侧可以看到该对象的所有属性。

其中,displayName属性为组策略的名称,该组策略名为Default Domain Policy。gPCFileSysPath属性为组策略模板存放的路径。

\\god.org\sysvol\god.org\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9}

当域中某对象应用某组策略时,该对象的gPLink属性值将指向这条组策略的完整DN。如下图所示,域分区“DC=god,DC=org”应用了Default Domain Policy组策略

所以该组织单位的gPLink属性值指向了Default Domain Policy组策略的完整DN。

组策略模版

组策略模板(GPT)存储该组策略实际的配置数据,被存放在域控制器的共享目录%SYSTEMROOT%SYSVOL sysvol八域名Policies下以GUID命名的文件夹中。

以GUID标识的各组策略配置目录中包含以下内容。

MACHINE:该文件夹包含一些针对该组策略的整个作用域中计算机的具体配置。

USER:该文件夹包含一些针对该组策略的整个作用域中用户的具体配置。

GPT.INI:该文件包含一些关于该组策略的策略名称、版本信息等配置信息。

组策略的创建

下面创建一个新的组策略,并将其应用于预先创建的一个组织单位“科研中心”。首先在域控制器上打开组策略管理,右击“组策略对象”,在弹出的快捷莱单中选择“新建”命令。

新建之后组策略并不会链接到任何作用域,可以手动将其链接到域中指定的站点、域和组织单位。选中预先创建的一个组织单位并单击右键,在弹出的快捷菜单中选择“链接现有GP0”命令,在出现的对话框中选中新建的组策略,单击“确定”按钮即可。

组策略配置完成后,这些配置的值不会立刻被应用到作用域中的用户或计算机,可以通过执行“gpupdate/force”命令来将组策略生效。组策略生效后,用户再次修改密码,若密码长度低于7,则会提示“密码不满足密码策略的要求。

windows7加入域中

为了能让加入域中的Windows7用户正常登录需要为它们创建域用户,需要在Windows Server中打开“Active Directory 用户和计算机"。选中"User"目录并单击右键,利用弹出的快捷菜单命令新建一个新用户。并设置密码永不过期。

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.xdnf.cn/news/148089.html

如若内容造成侵权/违法违规/事实不符,请联系一条长河网进行投诉反馈,一经查实,立即删除!

相关文章

DeepCross模型实现推荐算法

1. 项目简介 A032-DeepCross项目是一个基于深度学习的推荐算法实现&#xff0c;旨在解决个性化推荐问题。随着互联网平台上信息和内容的爆炸式增长&#xff0c;用户面临着信息过载的困境&#xff0c;如何为用户提供高效、精准的推荐成为了关键。该项目背景基于现代推荐系统的发…

数仓规范:命名规范如何设计?

目录 0 前言 1 表命名规范 2 字段命名规范 3 任务命名规范 4 层级命名规范 5 自定义函数命名规范 6 视图和存储过程的命名规范 7 综合案例分析 8 常见陷阱和如何避免 9 工具和最佳实践 10 小结 想进一步了解数仓建设这门艺术的&#xff0c;可以订阅我的专栏数字化建设…

笔尖划出秋季的声息

笔尖划出秋季的声息 进入秋分&#xff0c;天气渐趋凉爽&#xff0c;天空青蓝明朗&#xff0c;难言伤感。 九月&#xff0c;把一些句子记录好&#xff0c;明年拿出来晒一晒&#xff0c;秋季也就有了答案。 1、经历 9月6日&#xff0c;台风“摩羯”席卷而过粤西&#xff0c;…

[Excel VBA]如何使用VBA按行拆分Excel工作表

如何使用VBA按行拆分Excel工作表 在Excel中&#xff0c;按行拆分工作表并生成多个新工作表是一项实用的技能&#xff0c;尤其在处理大量数据时。以下是一个VBA代码示例&#xff0c;能帮助你轻松实现这一功能。 1. 代码说明 本代码会根据源工作表中每个姓名创建一个新工作表&a…

mybatis 配置文件完成增删改查(二):根据条件查询一个

文章目录 参数占位符#{}:会将其替换为&#xff1f; ——为了防止sql注入${}:会将其替换为实际接收到的数据&#xff0c;拼sql ——无法防止sql注入 查询一个sql特殊字符的处理 参数占位符 #{}:会将其替换为&#xff1f; ——为了防止sql注入 ${}:会将其替换为实际接收到的数据…

2024年一区极光优化+分解+深度学习!VMD-PLO-Transformer-GRU多变量时间序列光伏功率预测

2024年一区极光优化分解深度学习&#xff01;VMD-PLO-Transformer-GRU多变量时间序列光伏功率预测 目录 2024年一区极光优化分解深度学习&#xff01;VMD-PLO-Transformer-GRU多变量时间序列光伏功率预测效果一览基本介绍程序设计参考资料 效果一览 基本介绍 1.中秋献礼&#…

python如何跨文件调用自己定义的函数

当自己定义函数过多时&#xff0c;只有一个python文件时代码会很长&#xff0c;不易理清代码框架&#xff0c;比如下面这段代码&#xff0c;如何隐藏具体函数细节呢&#xff1f;也就是把def函数放到另外一个python文件里步骤如下&#xff1a; 一个python文件代码篇幅过长 imp…

面试中如何回答关于 `RecyclerView` 性能优化的理解和实践经验

本文首发于公众号“AntDream”&#xff0c;欢迎微信搜索“AntDream”或扫描文章底部二维码关注&#xff0c;和我一起每天进步一点点 在面试中展示对 RecyclerView 性能优化的理解和实践经验&#xff0c;你可以从以下几个方面进行阐述&#xff1a; 1. 理解 RecyclerView 的工作…

Maven-五、属性

Maven 文章目录 Maven前言属性定义properties文件加载pom文件属性总结 前言 使用maven中的属性可以来简化我们的配置工作。 属性定义 在pom文件中可以使用**标签设置属性&#xff0c;属性名自定义,然后可以在使用${属性名}**文件中引用自己定义的属性。 使用属性进行配置&a…

干货 | 2024数智新时代制造业数字化创新实践白皮书(免费下载)

导读&#xff1a;本白皮书将对制造业发展历程、现状、趋势与核心难题做深入解读&#xff0c;并在此基础上提出了相应的制造行业解决方案,结合业内实践成功的客户案例来详析信息化转型的有效方法&#xff0c;以供生产制造行业的从业者参考交流。

【网络安全】依赖混淆漏洞实现RCE

未经许可&#xff0c;不得转载。 文章目录 正文 依赖混淆是一种供应链攻击漏洞&#xff0c;发生在企业的内部依赖包错误地从公共库&#xff08;如npm&#xff09;下载&#xff0c;而不是从其私有注册表下载。攻击者可以在公共注册表中上传一个与公司内部包同名的恶意包&#xf…

Java的IO流(二)

目录 Java的IO流&#xff08;二&#xff09; 字节缓冲流 基本使用 使用缓冲流复制文件 字符缓冲流 缓冲流读取数据原理 字符编码 字符集 转换流 序列化流与反序列化流 基本使用 禁止成员被序列化 序列号不匹配异常 打印流 基本使用 系统打印流与改变流向 Prop…

【Windows】快速帮你解决如何找到 Windows 上的 .condarc 文件

&#x1f3ac; 鸽芷咕&#xff1a;个人主页 &#x1f525; 个人专栏: 《C干货基地》《粉丝福利》 ⛺️生活的理想&#xff0c;就是为了理想的生活! 专栏介绍 在软件开发和日常使用中&#xff0c;BUG是不可避免的。本专栏致力于为广大开发者和技术爱好者提供一个关于BUG解决的经…

【VLM小白指北 (1) 】An Introduction to Vision-Language Modeling

开一个新坑Vision-Language Modeling (VLM) &#xff0c;原文76页&#xff0c;慢慢更&#xff0c;for beginners&#xff0c;但也不能之前啥都不会啊。 原文链接&#xff1a;An Introduction to Vision-Language Modeling Introduction 存在的问题&#xff1a;将语言与视觉相…

算法-K个一组翻转链表

// 要实现没k个节点进行翻转的操作&#xff0c;可以按照一下步骤进行 // 1.计算链表长度 // 2.分组反转 // 3. 使用一个虚拟头节点来处理边界情况 // 4.每次处理k个节点进行反转 // 5.如果剩余节点不足k个 则保持原有顺序 // 6.依次反转每组中的节点 // 1.使用prevGroupEEnd追…

【测试】——JUnit

&#x1f4d6; 前言&#xff1a;JUnit 是一个流行的 Java 测试框架&#xff0c;主要用于编写和运行单元测试&#xff0c;用来管理测试用例。本文采用JUnit 5 目录 &#x1f552; 1. 添加依赖&#x1f552; 2. 注解&#x1f558; 2.1 Test&#x1f558; 2.2 BeforeAll AfterAll&…

OceanBase 3.X 高可用 (一)

OceanBase 3.X 高可用&#xff08;一&#xff09; 一、分布式核心 OceanBase 3.x 采用的是paxos 协议&#xff0c;与raft协议相比。其复杂程度高&#xff0c;实现技术难度大。 Paxos 协议允许事务日志乱序发送&#xff0c;顺序提交。raft允许事务顺序发送&#xff0c;顺序提…

Windows Internals 7th Edition English Download

天翼云盘 珍藏美好生活 家庭云|网盘|文件备份|资源分享天翼云盘是中国电信推出的云存储服务&#xff0c;为用户提供跨平台的文件存储、备份、同步及分享服务&#xff0c;是国内领先的免费网盘&#xff0c;安全、可靠、稳定、快速。天翼云盘为用户守护数据资产。https://cloud.1…

高并发内存池(四):查缺补漏 与 申请内存过程的调试

目录 查缺补漏 问题&#xff1a;min函数的冲突问题 申请内存过程的调试 当前文件展示 Common.h ObjectPool.h ConcurrentAlloc.h ThreadCache.h CentralCache.h PageCache.h ThreadCache.cpp CentralCache.cpp PageCache.cpp UnitTest.cpp 单进程单span 单进程…

谷歌收录批量查询,怎么查看批量查询谷歌收录情况

在SEO&#xff08;搜索引擎优化&#xff09;领域&#xff0c;确保网站内容被谷歌等搜索引擎有效收录是提升网站可见性和流量的关键步骤。批量查询谷歌收录情况&#xff0c;能够帮助网站管理员快速了解哪些页面已被搜索引擎识别并编入索引&#xff0c;哪些页面可能存在问题需要优…