9月16日笔记

🕗 发布于 2024-09-22 21:56 笔记

访问控制列表

访问控制列表(ACL)是访问控制项(Access Control Entry , ACE)的列表。安全对象的安全描述可以通过两种访问控制列表DACL和SACL进行。

DACL

DACL 是由一条条的访问控制项(ACE)条目构成的，每条ACE定义了哪些用户或组对该对象拥有怎样的访问权限。DACL 中的每个 ACE 可以看作配置的一条访问策略，每个 ACE 指定了一组访问权限，并包含一个 SID。该 SID 标识了允许或拒绝访问该安全对象的安全主体。

为了描述简洁，可以把一条 ACE 归纳为如下4方面:①谁对这个安全对象拥有权限;② 拥有什么权限;③ 这个权限是允许还是拒绝;④ 这个权限能不能被继承。

当安全主体访问该安全对象时，Windows会检查安全主体的 SID和安全对象 DACL中的 ACE 配置策略，根据找到的 ACE 配置策略对安全主体的访问行为允许或拒绝。如果该安全对象没有设置 DACL，那么系统默认允许所有访问操作;如果安全对象配置了DACI 但是没有配置 ACE 条目，那么系统将拒绝所有访问操作;如果系统配置了 DACL和 ACE，那么系统将按顺序读取 ACE，直到找到一个或多个允许或拒绝安全对象访问行

为的 ACE。

举例说明：讲解ACL判断用户的访问权限的过程。

安全主体 PrincipalA: SID=110, GroupSID=120, GroupSID=130

安全主体 PrincipalB: SID=210，GroupSID=220，GroupSID=230

安全主体 PrincipalC:SID=310，GroupSID=320，GroupSID=330.

安全对象 ObjectD:ACE1，拒绝 SID=210 的对象访问; ACE2，允许 SID=110 和 SID=220 的对象访问。

这三个主体都想访问ObjectD，但并不是都可以访问。

当 PrincipalA 访问安全对象D时:检查A的用户/用户组的 SID与ObjectD 的 ACE配置策略，首先判断 ACE1，此时没匹配上;然后判断 ACE2，此时可以匹配上，则允许PrincipalA 对 ObjectD 进行访问。
当 PrincipalB 访问 ObjectD 时:检查 PrincipalB 的用户/用户组的 SID 与 ObjectD的 ACE 配置策略，首先判断 ACE1，此时可以匹配上，则直接拒绝 PrincipalB 的访问。
当 PrincipalC 访间 ObiectD 时:检査 PrincipalC 的用户/用户组的 SID 与 ObiectD的 ACE 配置策略，若两条 ACE 都没有匹配上，则直接拒绝 PrincipalB 的访问。

SACL

SACL(System Access ControlList,系统访问控制列表)是安全主体对安全对象的访问行为的审计策略。SACI 也由一条一条的 ACE 条目构成，每条 ACE 定义了对哪些安全主体的哪些访问行为进行日志记录，如对指定用户的访问成功、失败行为进行审计记录日志。安全主体的访问行为满足这条 ACE 时就会被记录。

查看与修改访问控制列表(icacls)

icacls 是一种命令行工具，使用 icacls 命令可以查看或修改指定文件上的访问控制列表(ACL)，并将存储的 DACL 应用于指定目录中的文件。

icacls "文件名或目录名" [/grant 用户名:权限] [/deny 用户名:权限] [/remove 用户名] [/save 文件名] [/restore 文件名] [/setowner 用户名] [/T] [/C] [/L] [/Q]

文件名或目录名：指定要修改权限的文件或目录的路径。
/grant 用户名:权限：为用户或组授予指定的权限。
/deny 用户名:权限：拒绝用户或组访问指定的权限。
/remove 用户名：从ACL中删除用户或组的所有条目。
/save 文件名：将ACL保存到指定的文件中，供将来恢复使用。
/restore 文件名：从保存的文件中恢复ACL。
/setowner 用户名：更改文件或目录的所有者。
/T：递归地处理所有指定目录及其子目录中的文件。
/C：在出现错误时继续执行操作。
/L：对符号链接本身进行操作，而不是对链接指向的目标进行操作。
/Q：以安静模式运行，不显示成功消息。

可授予的权限

F：完全控制
M：修改
RX：读取和执行
R：只读
W：只写

icacls C:\Users\Administrator\Desktop\test

查看指定文件的ACL。

① 在“()”中以“,”分隔的特定权限列表:DE，删除;RC，读取控制;WDAC，写入DAC;WO，写入所有者;S，同步;AS，访问系统安全性;MA，允许的最大值;GR，一般性读取;GW，一般性写入;GE，一般性执行;GA，全为一般性;RD，读取数据/列出目录;WD，写入数据/添加文件;AD，附加数据/添加子目录;REA，读取扩展属性;WEA，写入扩展属性;X，执行/遍历;DC，删除子项;RA，读取属性;WA，写入属性。

② 继承权限可以优先于每种格式，但只应用于目录:OI，对象继承;CI，容器继承，IO，仅继承;NP，不传播继承;I，从父容器继承的权限

icacls "C:\phpStudy\*" /save C:\phpStudy\aclfile.txt

将指定目录及子目录下所有文件的 ACL 备份到 aclfile.txt。

icacls "C:\phpStudy" /restore aclfile.txt

将 aclfile…txt内所有备份的文件 ACL 还原到指定目录及其子目录.

给用户Hacker添加指定文件或目录（及其子目录)的完全访问权限。

icacls C:\Users\Administrator\Desktop\test /grant Hacker:(OI)(CI)(F)/t

其中，“OI”代表对象继承，“CI”代表容器继承，“F”代表完全访问执行以下命令，删除用户Hacker对指定文件或目录（及其子目录)的完全访问权限。

icacls C:\Users\Administrator\Desktop\test /remove Hacker /t

组策略

组策略对象

组策略对象(Group Policy Object,GPO)即组策略设置的集合，其中包含应用于特定用户或计算机的策略信息和具体配置。在设置组策略时，只需将组策略对象链接到指定的站点、域和组织单位，其中的策略值便会应用到该站点、域和组织单位的所有用户和计算机。

组策略对象由组策略容器(Group Policy Container,GPC)和组策略模板(Group Policy Container,GPT)两个组件组成，在Windows中分别存储在域控制器的不同位置上。其中，组策略容器存储在活动目录的域分区，组策略模板被存放在域控制器的如下文件夹中：%SYSTEMROOT%\SYSVOL\sysvol\域名\Policies。

可以使用组策略管理来查看和编辑每个GPO的设置，如下所示，可以看到两个默认组策略对象Default Domain Policy和Default Domain Controller Policy,它们在域控制器被建立时自动创建。

Default Domain Policy默认组策略对象

Default Domain Policy应用到其所在域的所有用户和计算机。例如在图1-7-2中，右侧的作用域中的这条组策略链接到了整个god.org域。

右击这条组策略，在弹出的快捷菜单中选择“保存报告”命令，就可以保存整个组策略的内容，保存类型可以为HTML。

Default Domain Controllers Policy默认组策略对象

Default Domain Controllers Policy应用到Domain Controllers中所有的用户和计算机。

1.组策略容器

组策略容器（GPC)中记录着该组策略对象的策略名称、标识组策略的GUD、组策略链接到的作用域、组策略模板的路径、组策略的版本信息等各种元数据。组策略容器存储在活动目录的域分区，例如：

CN=Policies,CN=System,DC=god,DC=org

图中可以看到两个GUID标识的两个默认组策略对象。选中一个右侧可以看到该对象的所有属性。

其中，displayName属性为组策略的名称，该组策略名为Default Domain Policy。gPCFileSysPath属性为组策略模板存放的路径。

\\god.org\sysvol\god.org\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9}

当域中某对象应用某组策略时，该对象的gPLink属性值将指向这条组策略的完整DN。如下图所示，域分区“DC=god,DC=org”应用了Default Domain Policy组策略

所以该组织单位的gPLink属性值指向了Default Domain Policy组策略的完整DN。

组策略模版

组策略模板（GPT)存储该组策略实际的配置数据，被存放在域控制器的共享目录%SYSTEMROOT%SYSVOL sysvol八域名Policies下以GUID命名的文件夹中。

以GUID标识的各组策略配置目录中包含以下内容。

MACHINE:该文件夹包含一些针对该组策略的整个作用域中计算机的具体配置。

USER：该文件夹包含一些针对该组策略的整个作用域中用户的具体配置。

GPT.INI:该文件包含一些关于该组策略的策略名称、版本信息等配置信息。

组策略的创建

下面创建一个新的组策略，并将其应用于预先创建的一个组织单位“科研中心”。首先在域控制器上打开组策略管理，右击“组策略对象”，在弹出的快捷莱单中选择“新建”命令。

新建之后组策略并不会链接到任何作用域，可以手动将其链接到域中指定的站点、域和组织单位。选中预先创建的一个组织单位并单击右键，在弹出的快捷菜单中选择“链接现有GP0”命令，在出现的对话框中选中新建的组策略，单击“确定”按钮即可。

组策略配置完成后，这些配置的值不会立刻被应用到作用域中的用户或计算机，可以通过执行“gpupdate/force”命令来将组策略生效。组策略生效后，用户再次修改密码，若密码长度低于7，则会提示“密码不满足密码策略的要求。

windows7加入域中

为了能让加入域中的Windows7用户正常登录需要为它们创建域用户，需要在Windows Server中打开“Active Directory 用户和计算机"。选中"User"目录并单击右键，利用弹出的快捷菜单命令新建一个新用户。并设置密码永不过期。

原文地址：https://blog.csdn.net/m0_74736832/article/details/142442914

免责声明：本站文章内容转载自网络资源，如本站内容侵犯了原著者的合法权益，可联系本站删除。更多内容请关注自学内容网（zxcms.com）！

上一篇：C++从入门到起飞之——多态全方位剖析！
下一篇：synchronized锁的升级过程

Linux网络工具：用于查询DNS（域名系统）域名解析信息的命令nslookup详解
Linux中的nslookup工具是一个功能强大的网络命令行工具，主要用于查询DNS（域名系统）域名解析信息，可以进行正向解析和反向解析。它可以帮助用户诊断网络连接问题、检查域名解析是否正确，以及查询
阅读更多2024-09-22
Windows下批量重命名文件【bat实现】-两个小问题
在txt文件后边加一行“PAUSE”之后再生成.bat，发现是因为文件名中文乱码，导致找不到文件。这是因为我在文件夹用右键打开的——“在终端运行”，正确的方式是在搜索栏输入cmd打开命令行。解决方式：
阅读更多2024-09-22
图结构感知的Transformer：一种新的图表示学习方法
尽管图神经网络（GNNs）在处理图数据方面取得了显著成就，但它们在表达能力和捕获长距离依赖方面存在局限性。为了突破这些局限，研究者们开始探索将Transformer架构应用于图表示学习。在此基础上，瑞
阅读更多2024-09-22
C#学习笔记（三）Visual Studio安装与使用
本文主要介绍了Visual Studio的安装和使用，介绍了几个简单的Winfom程序
阅读更多2024-09-22
MySQL面试题——第一篇
表类型如果是MyISAM，那么id就是8如果是InnoDB，那就是6InnoDB表只会把自增主键的最大id记录在内存中，所以重启之后才会导致最大id丢失。每当行被更改时，时间戳字段将获取当前时间戳。内
阅读更多2024-09-22
Pandas的入门操作-DataFrame对象
求是否高于平均年龄。
阅读更多2024-09-22
基于YOLOv5的教室人数检测统计系统
基于YOLOv5的教室人数检测统计系统。自动考勤、安全监控或空间利用分析
阅读更多2024-09-22
双虚拟机部署php项目
经过前面的学习，我们对分布式部署有了一定的了解，这次我们尝试做些东西。
阅读更多2024-09-22
位图与布隆过滤器
思路1：排序+二分查找思路2：哈希或红黑树因为40亿个整数要占用16GB102410241024Byte 约等于10亿Byte=1GB40亿*4Byte = 16GB16G太大放不进内存，就算我们用归
阅读更多2024-09-22
开始场景的制作+气泡特效的添加
4.将Main Camera拖拽到Render Camera中（用于指定相机）。1.在Project面板中创建Scenes文件夹，用于存放游戏场景。3.如图，在层级面板执行操作1后，选择Canvas，
阅读更多2024-09-22