К. Закер - Компьютерные сети. Модернизация и поиск неисправностей (953092), страница 170
Текст из файла (страница 170)
Любые права доступа, назначенные контейнерному объекту, наследуются объектами, размещенными в атом юлпейнере. Например, обьекту пользователя Айпш, создаваемому по умолчанию при установке первого сервера ЪП)$, автоматически предоставляется право супервизора на доступ к объекту (Коог]. Это дает пользователю полный контроль надо всеми обьектами в дереве и их свойствами. Помимо этого, за счет наследования права супервизора на доступ к обьекту !Ими] пользователь Аблпп также получает полный контроль над файловой системой всех томов сервера )чег%аге.
Это одна из немногих областей, 6~е права 1чОЗ и разрешения файловой системы пересекаются. Если 'предоставить любому пользователю права супервизора на доступ к объекту сервера, пользователь получит не только права на управпепие объектом сервера, но также права нл доступ к томам сервера.
Пользователь далил совершенна не отличается от любага другого объекта пользователя в дереве М08. за исключением прав на объекты, которые ему предоставлены. 8 отличив ат учетной записи 8ареМзог'в базе ргаистраиианньж данных Негууаге. пользователя дапйп можно уделять и изменить права ега объекта. Однако прежде чем сделать зго, следует убедиться, палли киидап~ объекта е дереве. пв райней мерв.
один пользователь имеет права супервизора. иначе может паявитъоя честь дерева й08. для жжарай не будет. ни одного пользователя с правами, несбшдимыми для ее администрирования. Как упоминалось ранее, каждый объект пользователя в дереве МОЯ получает право просмотра (Впягзе) лля каждого другого обьекта в дереве.
Оно не является правом, назначаемым произвольному пользователю индивидуально при его создании. Вместо итого винное право предостзвлжтся через Использование специальном объекта ]РиЪИс]. Этот обьект в действительнаспг не отображается в дереве, по оп приводится и списке упоппами, подобными Хегътаге АйшбзМагог как объект, лля которого мокно назначить права доступа. Любые права, предоставленные абьек1у, наследуются всеми объектами в дереве, а также зашентами К08, еше не зарегистрироваашимиая в,дереве. пр~ д упа к бъ у вго з д б е а чья], нрвласга ь ~.объекту ~риЫк], Разрешает всем пользователям видеть лврево, а клиентам просматривать его (например, при выборе контекста) еще да реп1страции в нем.
Фильтры наследуемых прав В некоторых случаях может возникнуть необхолимасзь црслотвРишть Распространение прав вниз по дереву, н зто можно сделать, применив к контейнерному объекту фильтр яаследуемьк прав. Фильтр работает подобно илотине, прелотврашая распространение специфических прав на доступ к объектам и свойствам. Когда фильтр наследуемых прав аоздастсд в контейнере, чтобы, например, отФильтровывать права Сгеаге доступа к объекту, все другие права доатупа к контейнеру передаются дальше оеьектам в контейнере, за исключением прзва Сгеые.
Фильтр наследуемых прав прелотврашает наследование прав только от главных объектов, он Никак не воздействует на права, котарьге непосредственно предоставленй объектам, расположенным ниже фильтра. Таким образом, если есть необходимость. в экспериментальных целях или по любой другой причине савзигь засекреченную ветвь дерева, то можно создать фильтр, который будет отсекигь все наследуемые права. Отава в праве Вгочче на доступ к объекту манит'сделать ветвь дерева невидимой для других пользователей.
Тем пользователям, кому требуется доступ к скрытой ветви, следует предоставить необходимые права их обьектам или создать дхя этой цели группу объектов. Эффективные права Как можно видеть, права на поступ к объектам и,свойствам, которыми обладает определенный объект, могут быль получены из нескольких разных источников, и вае эти права объединяются в конечном объекте. Цапример, пользователь'может имен некоторые права на доступ к свойствам объекта, предоставленные ему за счет наследования от контейнера, и тр время как другие права ищут быть явно назначены администраторам. Конечным результатом будет:комбинация этих прав.
После добавления обьекта ]РоЬИс] группы объекпзл, 'Фильтров наследуемых прав, а таквв нескольких уровней контейнерных объектов временами будет досглгочно слсахно определить, какие эффективные прива пользователь имеет в действительности. Зффехяшаныв, нрава объекта являются конечным Результигом работы всех механизмов, которые могут предоставлять или отказывать в правах доступа к объекту или свойствам. Права, назначенные абьекту явно или указанные через эквиваленты безопасности или членство а группе, имехзт приоритет над теми, что наследованы ат контейнера или объекта ]РаЬНс]. В сущности, эффективные нрава — зто комбинация всех перечисленных ниже факторов.
П Права, явно назначенные объекту. ъз Права, полученные через эквиваленты безопасности и членство в группах. С$ Права, полученные через объект [РиЪЩ. ъУ Права, наследуемые от контейнерных объектов, ъз гзаследуемые права, заблокированные фильтрами наследуемых прав. Несмотря на то, что возможно выявить эффективные права,обьекта, сопоставив эффект от всех вьпле приведенных факторов, это можно сделать намного проще при помощи системных программ 11ВЯ, таких как Иег%аге Адпшизггагог или гчеыйшддхе, которые способны покажь эффективные права лля определенного объекта, как представлено на рис. 21.14.
Рпо. 21. тФ. диалоговое окне Итееиае гивьеа программы мегттаге Аспапвамсг Для любого, кто отвечает за чисть работы по поддержке дерева 1ч0$, важно понимать концепцию эффективных прав и Знать о различных механизмах, используемых для назначения прав доступа к объектам и свойствам. Многие администраторы ограничивают количество механизмов, применяемых для назначения прав, чтобы упростить работу по обслуживанию дерева ИРБ, поэтому должны существовать специальные правила политики, которые позволили бы любому пользователю, знакомому с этими механизмами, их применять.
Новьгй сотрудник службы поддержки, который любит пользоваться фильтрами наследуемых прав„может внести большуго путаницу, если никто бальшб не 'будет знать, как они работают. Пожалуй; аднйм из наиболее явных недостатюв операционной системы %шйотгз ХТ является отсутствие полнафункциональнои службы каталогов. Домены, используемые %шйожз ХТ для организации и управления компьютерами сети, вполне работоспособны, однайа мж:::рйвавЩиемаетв.и ьгвсштабируемость явно недостагочны па сравнению с продуктами кдасса Хозей Онесгогу Яег4сез. Для сетей малого и среднего размера служба каталогов %шйжз ХТ в целом достаточны, но когда речь идет о больших корпслитивных сетях, задача па администрированию доменов %шйожз ХТ н приспосабливанию их для специфических нужд становится уже намного более сложной.
Операционная система %шйочч26М) призвана решить данные проблемы с помощью Асйте Вцесгогу„иерархической службы каталогов, которая может пщдерживать сети практически любого размера. Однако в ближайшие гцяы, до тех пор, пока %шйотгз2600 полностью не заменит %шйож ХТ, попрежнему булет существовать еще множество сетей с ломе- нами %шйаиа ХТ.
для попучения бспее подробной инФормации об Асбие Р!гесхлу см, елееу 23. Употребление лермина "домен" для списания грулпы каьппяатеров в операционной системе %шйаъз ХТ, управляемых кяк единое целое, представляется, по меныдей мере, неудачным. Ва времена'разработки данной концепции сеть Интернет даже близко нельзя было сравнить с тай повсеместной сущностью, геоторой она является сейчас, и, казалось, что применение термина, ранее заимствованного для определения инфраструктуры Интернета, никак не станет большой проблемой. Тем не менее, в настоящее время даже те, кто никогда не садился за компьютер, хорошо знакомы с фразой "точка сот", н возможна некоторая путаница между доменами Интернета и доменами %ийоне ХТ.
Самое главное различие между двумя указанными типами ломенов заключается в том, что в то время как служба доменных имен Интернета (ОХИ, Ооглаш Хаше Буьтеш) имеет иерархическую структуру, домены %шйагез ХТ такого качества. начисто лишены. Домен %гпйоиз ХТ представляет собой просто группу'компьютеров сети, использующих общую модель обеспечения Глава к2. домены уувхГона ИТ безопасности, а также имеющих единую базу данных администратора учввзных Данных в снствснс защиты (%АМ; 5~силву Ассоннг Мана~ег), которая содержит информацию о пользователях и группах, хранящуюся на одной или нескольких системах, назначенных в качестве конлгровлвров дамена гаожалз солнийеи).
Схема, отражающая расположение компьютеров в доменах %шдоив ХТ„состоит только из двух уровней: сами домены и компьютеры этих доменов (рис. 22.1). Домены же, фигурирующие в сети Интернет, могут иметь сколысо угодно уровней, помимо трех минимальных: домена верхнего уровня (например, сош), домена второго уровня и компъютеров домена второго уровня. Владелец домена второго уровня полностью свободен в создании любого количества уровней подаоменов, в то время как сеть %шдоъз ИТ ограничена одним единственным уровнем. иев Рис, ддл.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
