考试网 >> IT认证 >> 微软 >> MCSE指导 >> Nt/2000/xp平台下的存储控制模型

发布时间：2006-06-28 05:52     点击：

　　鉴于在nt类操作系统下开发程序时有可能涉及操作注册表，读写文件和操控服务等内容，而为使这类程序在不同帐户下皆可正确运行就需要了解nt类操作系统的存储控制模型，所以才写这篇文章。这篇文章所涉及大部分内容可在msdn找到相关说明，小部分内容来自个人经验。错漏之处还望斧正。

　　基本概念及缩写：

　　SID(security identifier):用于唯一标识用户或组的变长结构

　　access token：存储令牌包含每个登录帐户的安全信息。每当用户登录系统时，系统为其建立一个access token,而此用户所执行的进程拥有此access token的一份拷贝。Access token 中包含的内容有

　　User SID

　　Group SIDs

　　Privilege Information

　　Other access Information

　　ACE( access control entry) : 包含一系列存储权限及谁拥有这种权限的说明。

　　ACL(access control list): 一个ACE的链表，用于说明某个安全对象可以被谁以什么样的权限进行操作。

　　DACL（discretionary access control list）：由安全对象的拥有者(即创建者)控制的ACL。 

　Trustee: a trustee is the user account, group account, or logon session to which an access control entry (ACE) applies

　　利用这些概念，我们来看一下，对安全对象进行操作要经过那些步骤。(见图1)

　　这个过程是这样，系统把线程的Access Token的trustee同DACL中每一个ACL的trustee相比较直到满足下列某一个条件：

　　一个ACE清楚的表明某项操作对这个Access Token无效。比如Thread A的访问过程。

　　一个ACE清楚的表明能够接受这个Access Token所要求的操作。比如Thread B要求进行Write ,Read or Execute操作。

　　所有ACE已被检查过但仍然有一项或多项权限没有被清楚的允许。此时称做隐式禁止（implicitly denied）。

　　另外，如果ACE在DACL中有不同的排列顺序，对于某个Access Token，可能有完全不同的结果。比如ACE 2排在ACE 1 前面的话，Thread A将可以对此对象进行写操作。

发表评论： 匿名发表 用户名: 查看评论

您将承担一切因您的行为、言论而直接或间接导致的民事或刑事法律责任 留言板管理人员有权保留或删除其管辖留言中的任意内容 本站提醒：不要进行人身攻击。谢谢配合。