active directory中的访问控制

《active directory中的访问控制》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、窗体顶端博客登录用户名：密　码：窗体底端注册

2、登录忘记密码？51cto首页

3、博客

4、论坛

5、下载热点文章还原已删除的ActiveDir..窗体顶端窗体底端　帮助转载:4 翻译:0原创:270 王达博客 http://winda.blog.51cto.com>复制链接邀请加入技术圈加友情链接发短消息相册技术圈博客首页

6、下载

7、技术论坛

8、短消息博客·我的博客·发表文章·管理博客技术圈·创建圈子·我的圈子·寻找圈子相册·我的相册·上传图片·管理相册首页

9、图书资讯

10、图书精彩内容试读

11、网络技术

12、网友交流

13、职场资讯和观点万物苏醒博客“春季运

14、动会”开始啦！    51CTO招聘:PHP工程师、运维工程师博主的更多文章>>ActiveDirectory中的访问控制2007-09-2320:59:26　标签：ActiveDirectory《网管员必读——网络管理》（第2版）　　　[推送到技术圈]版权声明：原创作品，允许转载，转载时请务必以超链接形式标明文章原始出处、作者信息和本声明。否则将追究法律责任。http://winda.blog.51cto.com/55153/43750以下内容摘自笔者编著的《网管员必读——网络管理》（第2版）一书。 6.1.4Activ

15、eDirectory中的访问控制为达到安全目的，管理员可使用访问控制来管理对共享资源的用户访问权。在ActiveDirectory中，访问控制是通过为对象设置不同的访问级别或权限（如“完全控制”、“写入”、“读取”或“拒绝访问”），在对象级别进行管理的。ActiveDirectory中的访问控制定义了不同的用户可如何使用ActiveDirectory对象。在默认情况下，ActiveDirectory中对象的权限被设置为最安全的设置。在ActiveDirectory对象上定义访问控制权限的元素包括安全描述符、对象继承和用户身

16、份验证。1．安全描述符安全描述符是一种数据结构，包含与受保护的对象相关联的安全信息。安全描述符包括有关对象所有者、能访问对象的人员及其访问方式，以及受审核的访问类型等方面的信息。访问控制权限被指派给共享资源和ActiveDirectory对象，以控制不同的用户如何访问每个对象。共享对象（或称共享资源）是为了让一个或多个用户通过网络使用的对象，包括文件、打印机、文件夹和服务。共享对象和ActiveDirectory对象都在安全描述符中存储访问控制权限。安全描述符包含两个访问控制列表（ACL），用于指派和跟踪每个对象的安全信息

17、，它们是：随机访问控制列表（DACL）和系统访问控制列表（SACL）。1）随机访问控制列表（DACL）随机访问控制列表（DACL）是对象的安全描述符的一部分，它能赋予或拒绝特定用户和组对该对象的访问权。只有对象的所有者才能更改在DACL中赋予或拒绝的权限，这就表示此对象的所有者可以自由访问该对象。DACL标识已被指派或拒绝对某个对象的访问权限的用户和组。如果DACL未明确标识某个用户或用户所属的任何组，则该用户将被拒绝访问此对象。在默认情况下，DACL由对象的所有者或创建此对象的人控制，它包含决定此对象的用户访问权的访问控

18、制项（ACE）。2）系统访问控制列表（SACL）系统访问控制列表（SACL）也是对象的安全描述符的一部分，指定了每个用户或组中要审核的事件。审核事件的例子是文件访问、登录尝试和系统关闭。SACL标识当其成功访问或未能访问某个对象时要审核的用户和组。审核可用来监视与系统或网络安全相关的事件、标识违反安全情况，以及确定任何损害的范围和位置。在默认情况下，SACL由对象的所有者或创建此对象的人控制。SACL包含访问控制项（ACE），决定是否记录用户使用给定权限（例如，“完全控制”和“读取”）访问对象时的成功或失败尝试。要使用“A

19、ctiveDirectory用户和计算机”管理工具查看ActiveDirectory对象的DACL和SACL，可执行【查看】→【高级功能】菜单操作，然后在对象属性对话框中选择“安全”选项卡，如图6-1所示。在这里就可以查看对象的DACL了。SACL的查看可通过在图6-1所示对话框中单击【高级】按钮，在打开的对话框选择“审核”选项卡进行，如图6-2所示。还可以使用DSACLS支持工具来管理ActiveDirectory中的访问控制列表。详细信息，请参阅本章后面的“ActiveDirectory支持工具”。 图6-1Activ

20、eDirectory对象属性对话框“安全”选项卡图6-2对象的高级安全设置“审核”选项卡默认情况下，DACL和SACL与每个ActiveDirectory对象关联，这样可减少恶意用户对网络的攻击或域用户的任何意外错误对网络的影响。但是，如果恶意用户获得了具有管理凭据的任何账户的用户名和密码，他的林就会受