Windows Vista. Для профессионалов
Шрифт:
Привилегия предоставлена: никому.
• SeUndockPriviLege (отключение компьютера от стыковочного узла) – необходима, чтобы режим Plug and Play разрешил извлечение компьютера из стыковочного устройства.
Привилегия предоставлена группам Администраторы, Пользователи.
Если же вам необходимо узнать, какие привилегии предоставлены текущему пользователю, то можно воспользоваться новой программой командной строки операционной системы Windows Vista Whoami.ехе. Для этого применяется следующий синтаксис программы: Whoami /priv.
Права учетной записи
Подраздел Конфигурация
Список большинства этих прав приведен ниже.
• SeAssign Primary Token Privilege (замена маркера уровня процесса) – позволяет процессам использовать API-функцию CreateProcessAsUser для запуска других процессов, не используя свой маркер доступа. Например, эта привилегия может использоваться одной службой для запуска другой. В частности, она используется планировщиком заданий.
Право предоставлено учетным записям сетевой и локальной службы.
• SeAuditPriviLege (управлять аудитом и журналом безопасности) – разрешает службе или учетной записи создание записей в стандартном журнале безопасности системы (eventvwr.msc) с помощью API-функции ReportEvent.
Право предоставлено учетным записям сетевой и локальной службы.
• SeCreatePermanentPriviLege (создание постоянных общих объектов) – позволяет службе или учетной записи создавать постоянные объекты (объекты, не удаляемые при отсутствии ссылок на них). Например, создавать объекты каталога с помощью диспетчера объектов.
Право предоставлено: никому.
• SeCreateTokenPriviLege (создание маркерного объекта) – разрешает службе или учетной записи создавать первичные маркеры. Иначе говоря, учетная запись может создать маркер, содержащий любые SID и привилегии, и запустить с его помощью процесс.
Право предоставлено: никому.
• SeEnableDelegationPrivilege (разрешить доверия к учетным записям компьютеров и пользователей при делегировании) – используется в Active Directory для делегирования учетных записей и определяет, может ли данная учетная запись устанавливать параметр Делегирование разрешено для пользовательского или компьютерного объекта. Этот параметр можно устанавливать только для тех учетных записей пользователей или компьютеров, для которых снят флажок Учетная запись не может быть делегирована.
Право предоставлено: никому.
• SeLockMemoryPrivilege (блокировка страниц в памяти) – разрешает службе или учетной записи выполнять блокировку физических страниц памяти. Блокировка физических страниц памяти запрещает сброс блокированных страниц в файл подкачки, то есть они всегда будут находиться в оперативной памяти.
Право предоставлено: никому.
• SeMachineAccountPrivilege (добавление рабочих станций к домену) – необходимо, чтобы диспетчер учетных данных безопасности SAM разрешил добавление компьютера к домену. Если пользователь обладает данным правом, он может добавить до десяти компьютеров в домен.
Право предоставлено пользователям, прошедшим проверку.
• SeSyncAgentPrivilege (синхронизировать данные службы каталогов) –
Право предоставлено: никому.
Редактирование DACL объекта
По умолчанию, если вы еще не отключили механизм UAC, большинство ветвей реестра подраздела HKEY_LOCAL_MACHINE и системных файлов доступны администраторам только для чтения. Полный же доступ на них имеет пользователь TrustedlnstaLLer, который также является и их владельцем. Поэтому администраторы не смогут изменить права доступа на ветвь реестра или файл, пока не сменят владельца на него.
Операция смены владельца проходит так же, как и в Windows ХР. Например, для смены владельца файла нужно отобразить окно Свойства данного файла, перейти на вкладку Безопасность и нажать кнопку Изменить. После этого отобразится копия окна Безопасность, в которой нужно нажать кнопку Дополнительно, чтобы отобразилось еще одно окно, имеющее вкладку Владелец. Чтобы сменить владельца файла, нужно перейти на данную вкладку и в поле Изменить владельца на: выбрать нового владельца. После нажатия кнопки ОК владелец файла будет изменен, и вы сможете изменить разрешения на доступ к файлу. Похожим образом выполняется изменение владельца ветви реестра.
Программа для работы с DACL icacls.exe
Вы, наверное, знаете, что в предыдущих версиях операционной системы Windows присутствовала программа командной строки cacls.ехе, с помощью которой можно изменять DACL определенного файла. Данная программа присутствует и в Windows Vista, однако, кроме нее, в новой операционной системе есть еще одна программа для работы с DACL – icacls.ехе. Основные возможности данной программы лучше всего рассмотреть на примерах ее использования. Полное же описание ее возможностей можно увидеть, введя в командной строке команду icacls /?.
Архивирование и восстановление DACL файла или нескольких файлов и каталогов
Интересной возможностью данной программы является возможность архивирования DACL файлов или каталогов с целью их дальнейшего восстановления на локальном или удаленном компьютере.
Для архивирования DACL файла достаточно воспользоваться командой icacls.ехе <путь к файлу и его имя> /save <путь к архиву и его имя>. Например:
• Icacls c: \windows\system32\cmd.exe/save d: \cmd ACL old – копирует ACL файла cmd.ехе в файл cmd_ACL_old;
• Icacls c: \windows\system32\* /save d: \System32 ACL old – копирует ACL всех файлов и каталогов папки %systemroot%\system32 в файл System32_ACL_old.
Не забывайте, что если какая-нибудь программа, DACL которой нужно скопировать, в данный момент открыта другой программой, то icacls.ехе не сможет получить к ней доступ и завершит свою работу. В этом случае, если вы копируете DACL содержимого целого каталога, нужно использовать параметр /С, чтобы программа icacls.ехе не завершала свою работу, а продолжила, не копируя DACL занятого файла. Также при копировании DACL содержимого каталога можно использовать параметр /Т, чтобы также копировалось содержимое всех вложенных в выбранный каталог подкаталогов.