Права доступа - NTFS
whoami /all показывает ваш SID и список групп, в которые вы входите.Содержание лекции: Права доступа - NTFS
Расшифровка лекции: Права доступа - NTFS
Полный текст первых минут лекции «Права доступа - NTFS» из видеокурса PracticU – субтитры с временной меткой для каждого абзаца. Так можно прочитать и найти нужные темы ещё до начала обучения.
Добро пожаловать на лекцию про NTFS Security. На этой лекции мы поговорим про права доступа, про access list. Мы поговорим, что такое наследство в NTFS.
Мы создадим группы пользователей, раздадим им права, запретим доступ, разрешим доступ одной группе, запретим доступ другой группе. Это будет лекция про security NTFS.
Начнем с того, что мы создадим пользователей. На данный момент я создаю их на одном компьютере. Но в организациях мы можем создать это на центральном сервере Active Directory.
Центральное хранилище всех пользователей. И, конечно, не надо делать User1, User2. Надо давать значимые имена и пользователям, и группам.
И, конечно, всем давать пароли. Вот мы создали пользователей. Теперь этих пользователей мы хотим разрешить. Они, видите, разрешены, не задисеблены.
И делаем группы. Почему мы делаем группы? Мы хотим их поделить по проектам. Проект 1, проект 2. Конечно, надо давать значимые имена.
Мы сейчас даем имена, такие, которые не принято давать в организациях. Проект 1, проект 2 принято давать имя каждому проекту. И мы добавляем в проект 1 пользователя под именем User1.
И это плохая практика давать такие плохие имена. Надо давать значимые имена и группам, и пользователям. Так, мы сделали группу проект 1 и добавили туда User1 и David.
Давайте сейчас сделаем еще одну группу проект 2. Почему мы делаем эти группы? Потому что мы хотим раздавать права не каждому пользователю отдельно, а раздавать группе права.
Если человек будет уволен, а потом возьмут на работу нового сотрудника, то примут на работу нового сотрудника, то мы его просто добавим в группу и он получит все права этой группы.
Так, мы создаем теперь User2, группу 2 и в эту группу 2 давайте еще добавим меня. Меня добавим в группу 2, меня зовут админ и я хочу быть в группе номер 2. Прекрасно.
Все, у нас есть пользователи, у нас есть группы и мы можем идти в NTFS и раздавать права папкам. Начнем с того, что мы посмотрим вообще в каких группах я нахожусь.
Сделаем команду, запустим команду whoami.all, то есть мы видим как меня зовут, а whoami.all, кто я такой.
И мы видим мой security ID, идентификатор security, security ID seed. И это именно мое имя в мире security. То есть меня не зовут админ в мире security, а вот это вот мой номер.
И все права доступа на все объекты, на все файлы и даже на регистры будут раздаваться по этому номеру. Поэтому если я поменяю свое имя с админа на там Johnny, предположим, я захочу красивое имя, то мои права доступа не будут изменены.
Заметьте, права доступа даются на каждый файл отдельно, на каждый ключ реестра отдельно. И поэтому, если при каждом изменении имени надо было бы менять все файлы во всей системе, подумайте, что это очень много работы.
Поэтому принято раздавать по номеру, а не по имени, и принято раздавать группам, а не конкретным пользователям. Потому что потом надо будет расставлять и заменять права для каждого файла отдельно.
Еще раз, права доступа раздаются на каждом файле, на каждой папке отдельно. Нет такого, все что можно этому пользователю, такого нет.
Есть папка, есть файл и у каждой папки, у каждого файла записано, кому можно подходить к этому файлу, кому запрещено подходить к этому файлу.
И эти права доступа там расписаны с помощью вот этого security ID, этого номера. Например, Everyone, у него есть номер 1110.
Это вот номер, который обозначает группу всех, кто зарегистрированы в этом компьютере. Также есть группа Interactive. Все, кто интерактивно около этого компьютера сделали логин, а не подошли через сеть.
Ведь же можно подойти к этому компьютеру и забить имя и пароль через файлы общего доступа, через удаленный файл скопировать информацию. Вот эти вот файлы общего доступа, шеры, удаленный доступ, он не будет интерактивным.
Я могу сказать, только те, кто физически находится рядом с компьютером, получают какие-то права доступа. Например, эта папка требует физического присутствия.
Эти security IDs – это группы, которые Microsoft нам уже заранее подготовили. А где моя группа? Я же тебя добавил в проект 2. Почему меня здесь нет?
Я вам отвечу, потому что вот этот вот список групп, они называются токен. Я его получаю во время логина, то есть система безопасности, это называется еще Kerberos Token, я получаю этот список групп во время входа в систему.
Поэтому мне надо было выйти и войти заново, чтобы получить этот свой эталон, этот свой билет со всеми группами. И мы видим то, что после повторного входа мы получили членство в этой группе проект 2.
И этот проект 2, если я поменяю имя, ничего не изменится, потому что у него есть seed. Вот этот security ID, видите, 1106. Именно этот номер будет присвоен к папке.
Мы сейчас сделаем папку, дадим право доступа, и поэтому security ID будут даны право доступа. Я вам это даже продемонстрирую. Так, мы создаем папку, назовем ее проект 1.
Это файлы, документы нашего тайного проекта. Напишем docs.project1 и сделаем такую же папку, например, для проекта 2. И мы можем в security раздавать разные права доступа.
Мы решаем, кому в эту папку можно заходить, кому запрещено. И все, что я вам рассказываю на уровне одного компьютера, также работает на уровне центрального сервера.
Это NTFS. Это файловая система, которая работает одинаково и на компьютерах личного использования, и на больших центральных серверах в организациях.
Мы видим, что у нас есть здесь группа Users, группа всех пользователей, простых пользователей, и у них есть право читать эти файлы в этой папке.
Есть группа System, это сам Windows. Это самая сильная группа, это сама операционная система. Это когда Windows хочет, например, сделать резервное копирование информации, они используют права доступа через этого пользователя, через эту группу.
То есть System это самый-самый сильный пользователь, он даже сильнее, чем администратор. System это и есть сам Windows, сама операционная система, когда она сама хочет подойти к файлам на жестком диске, она использует эту учетную запись.
Authenticated Users это все пользователи, которые прошли проверку имени и пароля, а Administrators это пользователи, которые в группе администраторов, то есть Authenticated Users это пользователи, которые имеют хоть какое-то имя и пароль в нашей системе, неважно откуда он взялся, то есть там через сеть или интерактивно.
System – это сама операционная система, сам Windows. Administrators – это пользователи, у которых есть право изменять настройки всего Windows.
То есть тот пользователь, который в группе Administrators сможет удалять программы, добавлять программы. А пользователь в группе Users сможет только использовать существующие приложения.
Он сможет только на своем рабочем столе там что-то удалять или добавлять, но он не сможет делать изменения, которые повлияют на всех пользователей. И этим отличаются права доступа пользователей в Administrators от прав простого юзера.
Простому юзеру можно сделать логин Windows и пользоваться существующими файлами, существующими приложениями. Так, это к нам все пришло по умолчанию.
Видите, это все серенькое. Почему это серенькое? Это пришло по умолчанию. Мы это даже не можем изменить. Оно серое, это не нажимается.
Потому что это пришло по умолчанию. Откуда мы только что создали папку? И это есть система inheritance, система наследования, которая начинается от диска. Диск это корень всей системы NTFS, и в нем есть вот эти вот папки, и видите, эти вот группы, и в них все расписано.
И оно не серое, оно таким ярким черным цветом, потому что это источник, это не наследование. Я возьму админа сейчас, моего пользователя, и дам ему, например, full control, полный контроль.
И когда я это добавляю на уровне дисковода C, оно перейдет по наследству всем файлам на жестком диске. То есть я сейчас добавил в корень NTFS, в корень security, то что у меня есть full control, полный контроль.
И это теперь пойдет как наследство всем файлам на этом диске. То есть если мы сейчас зайдем в docs.project1, мы увидим, что по наследству ко мне перешло то, что было на дисководе.
Это диск C, это есть источник всех прав. Видите, и админ здесь серенький. Почему он серенький? Потому что он пришел по наследству. Это наследство, это очень удобная штука, чтобы не раздавать права на каждый файл отдельно.
То есть, если бы не было бы наследства, я создал сейчас вот файл в моей рабочей папке. Мне бы надо было бы заходить в папку security и говорить, это можно, это нельзя.
А так я по наследству получил все настройки от моего родителя.