A hozzáférés-vezérlési modell részei
A hozzáférés-vezérlési modellnek két alapvető része van:
- Hozzáférési jogkivonatok, amelyek egy bejelentkezett felhasználó adatait tartalmazzák
- biztonsági leírók, amelyek tartalmazzák azokat a biztonsági információkat, amelyek egy biztonságos objektumot védenek
Amikor egy felhasználó bejelentkezik, a rendszer hitelesíti a felhasználó fióknevét és jelszavát. Ha a bejelentkezés sikeres, a rendszer létrehoz egy hozzáférési jogkivonatot. Minden folyamat, a felhasználó nevében végrehajtva, ennek a hozzáférési jogkivonatnak egy másolata lesz. A hozzáférési jogkivonat biztonsági azonosítókat, amelyek azonosítják a felhasználó fiókját és azokat a csoportfiókokat, amelyekhez a felhasználó tartozik. A jogkivonat tartalmazza a felhasználó vagy a felhasználó csoportjai által jogosultságok listáját is. A rendszer ezzel a jogkivonattal azonosítja a társított felhasználót, amikor egy folyamat megpróbál hozzáférni egy biztonságos objektumhoz, vagy olyan rendszerfelügyeleti feladatot hajt végre, amely jogosultságokat igényel.
Biztonságos objektum létrehozásakor a rendszer egy biztonsági leíró rendel hozzá, amely a létrehozója által megadott biztonsági információkat, vagy ha nincs megadva alapértelmezett biztonsági információ. Az alkalmazások függvényekkel lekérhetik és beállíthatják egy meglévő objektum biztonsági adatait.
A biztonsági leíró azonosítja az objektum tulajdonosát, és az alábbi hozzáférés-vezérlési listákat is tartalmazhat,:
- Egy belátás szerinti hozzáférés-vezérlési lista (DACL), amely azonosítja az objektumhoz való hozzáférést engedélyező vagy megtagadó felhasználókat és csoportokat
- Egy rendszerhozzáférés-vezérlési lista (SACL), amely azt szabályozza, hogy a rendszer hogyan naplóz hozzáférni az objektumhoz
Az ACL hozzáférés-vezérlési bejegyzések listáját tartalmazza. Minden ACE hozzáférési jogosultságok, és tartalmaz egy biztonsági azonosítót, amely azonosítja a megbízható, akik számára a jogosultságok engedélyezettek, megtagadhatók vagy naplózásra kerülnek. A meghatalmazott lehet felhasználói fiók, csoportfiók vagy bejelentkezési munkamenet.
A függvényekkel a biztonsági leírók, az SID-k és az ACL-ek tartalmát módosíthatja ahelyett, hogy közvetlenül hozzáfér hozzájuk. Ez segít biztosítani, hogy ezek a struktúrák szintaktikailag pontosak maradjanak, és megakadályozza, hogy a biztonsági rendszer jövőbeli fejlesztései feltörik a meglévő kódot.
A következő témakörök a hozzáférés-vezérlési modell egyes részeiről nyújtanak információt:
- hozzáférési jogkivonatok
- biztonsági leírók
- hozzáférés-vezérlési listák
- hozzáférés-vezérlési bejegyzések
- hozzáférési jogosultságok és hozzáférési maszkok
- AccessCheck működése
- központosított engedélyezési szabályzat
- biztonsági azonosítók