Деревянко А.С., Солощук М.Н. Операционные системы. Часть II. Обзор операционных систем

Подождите немного. Документ загружается.

адресного пространства, то он испортит только свои модули-заглушки и

никак не повлияет на работу других процессов.

5.4. Ввод-вывод

Менеджер ввода-вывода обеспечивает независимый от устройств

интерфейс ввода-вывода и отвечает за пересылку запросов на ввод-вывод

соответствующим драйверам. Менеджер Ввода-Вывода поддерживает

драйверы файловых систем, драйверы устройств и сетевые драйверы,

обеспечивая для них однородную среду. Модель ввода-вывода Windows

NT многоуровневая, каждый драйвер отвечает за логически законченный

уровень работы. Самый нижний уровень составляют драйверы устройств.

Другие драйверы являются надстройкой над драйверами устройств и не

зависят от специфики работы конкретного устройства. Поддержка

файловой системы отдельным драйвером в этой иерархии позволяет

Windows NT работать с разными файловыми системами.

5.5. Процессы-серверы

Часть системы, работающая в пользовательском режиме,

представлена процессами-серверами. Процессы-серверы выполняются

каждый в своем адресном пространстве, полностью изолированном от

пользовательских процессов и от других серверов. Серверу доступны все 4

Гбайта его виртуального адресного пространства. Процессы-серверы могут

быть подсистемами сред или специальными серверами. Подсистемы сред

обеспечивают для пользовательских процессов среды выполнения,

соответствующие спецификациям тех или иных операционных систем.

Подсистема работает в пользовательском режиме, но ее виртуальное

адресное пространство полностью отделено от адресного пространства

любого приложения. Взаимодействие между приложениями и

подсистемами происходит только через вызовы локальных процедур, что

делает процесс-сервер защищенным от клиентов. Основной и

обязательной подсистемой является Win32, остальные среды могут

устанавливаться по выбору. Подсистема Win32, которая обеспечивает

выполнение приложений Windows NT и Windows 9x, а также эмулирует

среды MS DOS и Windows 3.1. Среда Win32 обеспечивает наиболее

полную функциональность, и другие серверы обращаются к ней для

выполнения некоторых функций. Приложения MS DOS и Windows 3.1

выполняются в контексте процесса, являющегося Виртуальной Машиной

MS DOS. Виртуальная Машина MS DOS – это процесс Win32, который

эмулирует процессор Intel 8086, прерывания BIOS, прерывания MS DOS и

системные функции Windows 3.1 и драйверы реального режима. Каждая

Виртуальная Машина MS DOS выполняется в собственном изолированном

виртуальном адресном пространстве и обеспечивает для выполняющихся в

ней приложений адресное пространство, соответствующее MS DOS или

Windows 3.1.

Специальными серверами являются службы Windows NT, такие как

регистратор событий, подсистема безопасности, средства вызова

удаленных процедур и т.п., а также компоненты промежуточного

программного обеспечения фирмы Microsoft, устанавливаемые по выбору

– такие как MS SQL Server, MS Transaction Server и т.п. Со временем

значимость подсистем сред (кроме среды Win32) падает, так как Microsoft

не ставит перед собой задачи поддержки приложений, разработанных для

других сред, но значительно возрастает роль серверных процессов, в

которых выполняются продукты семейства MS BackOffice.

5.6. Система безопасности

Windows NT с самого начала планировалась как

многопользовательская система, поэтому средства аутентификации

пользователей и авторизации доступа к ресурсам встроены в систему, в

том числе и на уровне ядра. На рисунке 5.3. показаны компоненты системы

безопасности Windows NT (имеется в виду локальная безопасность, т.е.

защита ресурсов на локальном компьютере).

Рисунок 5.3 Система безопасности Windows NT

Процесс входа в систему обеспечивает начало работы с системой как

интерактивных пользователей, так и удаленных клиентов, обращающихся

к серверу. Этот компонент не связан с безопасностью непосредственно, но

обращается к Распорядителю локальной безопасности, который

организует аутентификацию пользователя по имени и паролю. Бюджеты

всех зарегистрированных пользователей сохраняются в Базе данных

бюджетов, доступ к которой осуществляется только через Диспетчер

бюджета безопасности. Кроме того, Распорядитель локальной

безопасности управляет политикой локальной безопасности –

разрешениями на доступ и ведет Базу данных локальной безопасности, а

также управляет политикой контроля и регистрирует контрольные

сообщения в Журнале безопасности.

Основную работу выполняет Менеджер безопасности в составе

Исполнительной системы. Этот модуль проверяет права доступа к

объектам по запросам других модулей Исполнительной системы (прежде

всего – Менеджера объектов) и генерирует контрольные сообщения. Для

получения информации о правах и передачи контрольных сообщений

Менеджер безопасности взаимодействует с Распорядителем локальной

безопасности.

При входе пользователя в систему для него на основе информации о

бюджете пользователя, хранящейся в Базе данных бюджетов, создается

маркер доступа, содержащий:

• уникальный идентификатор безопасности пользователя;

• список идентификаторов безопасности групп, в которые

пользователь входит;

• специальные привилегии пользователя.

Последний элемент определяет права, не связанные с отдельными

объектами, например: выполнять низкоуровневую отладку объектов,

увеличивать приоритет процессов, изменять конфигурацию драйверов,

работать с Журналом контроля и т.д. Пользователи могут входить в

группы, в Windows NT существует несколько встроенных групп

(например, Администраторы, Операторы сервера, операторы архива и т.д.),

которым некоторые специальные привилегии предоставляются по

умолчанию.

Копия маркера доступа создается для каждого процесса данного

пользователя. Однако, для работы в режиме клиент/сервер Windows NT

использует так называемое воплощение прав. Суть воплощения состоит в

том, что процесс-сервер (или его нить), выполняющий обслуживание

клиента, выполняется с маркером доступа процесса-клиента.

Windows NT использует модель безопасности, основанную на

списках контроля доступа: основная информация о возможностях доступа

связывается с объектом, а не с пользователем. Все именованные и

некоторые неименованные объекты имеют собственные дескрипторы

безопасности в Базе данных локальной безопасности. В дескриптор

безопасности входят:

• идентификатор владельца объекта;

• идентификаторов группы владельца (используется только для

подсистемы POSIX);

• контролируемый список управления доступом, определяющий,

какие пользователи имеют доступ к объекту, этот список

управляется владельцем объекта;

• системный список управления доступом, определяющий, какие

контрольные сообщения должны генерироваться для этого

объекта, этот список управляется Администратором.

Контролируемый список управления доступом состоит из элементов

двух типов: "доступ разрешается" и "доступ запрещается". Каждый из

элементов содержит идентификатор пользователя и маску доступа,

кодирующую одну или несколько возможностей для данного

пользователя. Для одного пользователя может быть несколько элементов

в списке, описывающих его различные возможности, при просмотре

списка эти возможности складываются.

Каждый тип объекта может иметь до 5 специфических возможностей

– операций, выполняемых только для данного типа объекта. Кроме того,

имеются стандартные возможности – операции, выполняемые для

объектов любого типа:

• синхронизация доступа к объекту;

• назначение владельца;

• запись;

• чтение;

• удаление.

При задании прав доступа возможно задание так называемых общих

возможностей, которые представляют собой макросы, кодирующиеся в

списке управления доступом определенными комбинациями стандартных

и специфических возможностей.

Авторизация, то есть проверка правильности доступа к объекту

состоит из таких шагов.

1. При обращении пользователя к объекту Менеджер безопасности

создает запрашиваемую маску доступа, в ней кодируются те

возможности, которые заданы в запросе.

2. Менеджер безопасности поэлементно просматривает

контролируемый список управления доступом. Если в списке

находится элемент, содержащий идентификатор того

пользователя, который выдал запрос, элемент обрабатывается.

3. Если элемент имеет тип "доступ запрещается", то при совпадении

хотя бы одной возможности в маске доступа элемента с

возможностью в запрашиваемой маске доступа, доступ

отклоняется. Все элементы типа "доступ запрещается"

располагаются в начале списка, следовательно, обрабатываются

в первую очередь.

4. Если доступ отклонен, то проверяется, не содержит ли

запрашиваемая маска только возможности чтения или записи и не

является пользователь владельцем объекта. Если выполняются

эти условия, то доступ предоставляется.

5. Если элемент имеет тип "доступ разрешается", то ищутся

совпадения возможностей в маске доступа элемента с

возможностями в запрашиваемой маске доступа. Если достигнуто

согласование, доступ предоставляется, в противном случае

просмотр списка продолжается.

6. Если при достижении конца списка согласование не достигнуто,

доступ отклоняется.

Системный список управления доступом состоит из элементов

только одного типа. Элемент этого списка содержит идентификатор

пользователя, маску контролируемых возможностей и флаги,

определяющие генерацию сообщения при успешном или неуспешном

доступе. Обработка системного списка управления доступом похожа на

обработку контролируемого списка. Если установлено соответствие между

запрашиваемым доступом и маской в элементе списка, то в зависимости

от значения флагов в элементе и результатов проверки прав по

контролируемому списку может быть сгенерировано сообщение о

событии.

Windows NT предоставляет также возможность отслеживания

событий, относящихся ко всей системе в целом. Различаются несколько

категорий таких событий:

• изменения в Базе данных бюджетов;

• изменения в Базе данных локальной безопасности;

• события отслеживания процессов;

• вход в систему и выход из нее;

• использование привилегий;

• доступ к защищенному объекту;

• системные события.

Перечень контролируемых событий – как системных, так и событий,

связанных с отдельными объектами – конфигурируется Администратором.

5.7. Файловая система NTFS

Механизм инсталлируемой файловой системы позволяет Windows

NT работать с различными файловыми системами. Однако наиболее

высокоэффективную работу вычислительных систем с несколькими

жесткими дисками большого объема обеспечивает файловая система

NTFS. Кроме того, NTFS поддерживает длинные имена файлов и

обеспечивает надежное хранение и повышенные возможности для

восстановления информации. NTFS в полной мере использует все средства

контроля доступа свойственные Windows NT как объектно-

ориентированной системе.

В соответствии с общей объектно-ориентированной архитектурой

Windows NT каждый файл в NTFS представляется как объект, имеющий

определенный набор атрибутов. К атрибутам относятся, например: имя

файла, тип файла, временные отметки, дескриптор безопасности,

индексная информация (для каталогов) и т.д. Данные файла также

являются его атрибутом. Каждый файл в виде списка своих атрибутов

представлен записью в специальном файле, называемом Главной

Файловой Таблицей (MFT – Master File Table). Размер записи в MFT не

фиксирован, но ограничен сверху (до 2 Кбайт). Примерная структура

записи MFT показана на рисунке 5.4.

Рисунок 5.4 Структура записи MFT в файловой системе NTFS

Атрибуты файла, размещаемые непосредственно в записи MFT

называются резидентными. Так, имя файла – обязательно резидентный

атрибут. Атрибуты, не поместившиеся в записи MFT, становятся

нерезидентными, они размещаются в отдельных экстентах, а запись MFT

содержит указатели на них.

В зависимости от размера файла возможны следующие варианты его

размещения (в порядке возрастания размера):

• данные файла целиком размещаются в области данных записи

MFT;

• область данных записи MFT содержит список адресов и размеров

экстентов, занимаемых файлом;

• вместо области данных в записи MFT содержатся расширенные

атрибуты, в которых имеется указатель на другую запись MFT,

которая содержит только заголовок и список адресов и размеров

экстентов, занимаемых файлом;

• расширенные атрибуты содержат список указателей на другие

записи MFT, каждая из которых которая содержит заголовок и

список экстентов файла.

Подобным же, хотя и несколько отличным образом размещаются и

каталоги:

• небольшой каталог представляет собой список имен файлов,

который целиком размещается в области данных MFT;

• для большого каталога список имен файлов в области данных

MFT также имеется, однако добавляется еще атрибут, называемый

индексом размещения, содержащий указатели на другие записи

MFT; список имен файлов совместно с индексом размещения

образуют корень B-дерева, упорядоченного таким образом, чтобы

минимизировать время поиска файла по некоторому атрибуту (как

правило, этим атрибутом является имя файла, но возможно

упорядочение по любому резидентному атрибуту).

Несколько первых записей MFT зарезервированы для системных

нужд. Первая запись описывает сам файл MFT, вторая – его резервную

копию. Адрес MFT и копии записаны в секторе начальной загрузки и

продублированы в логическом центре диска. Вся системная информация

представлена в виде файлов – записей MFT – хотя и скрытых от

просмотра. Системными файлами являются:

• сама MFT;

• резервная копия MFT;

• файл регистрации транзакций;

• дескриптор тома;

• корневой каталог;

• информация начальной загрузки;

• битовый массив кластеров;

• список плохих кластеров.

Дисковая память в NTFS распределяется кластерами, размер кластера

может выбираться.

Надежность NTFS обеспечивается прежде всего регистрацией

транзакций. NTFS использует "ленивую" запись – занесение в кэш

информации о любой транзакции. Параллельно, как фоновый процесс, эта

информация записывается в файл регистрации транзакций. Каждые

несколько секунд NTFS проверяет кэш, чтобы определить состояние

отложенной записи и фиксирует это состояние в файле регистрации как

контрольную точку. При возникновении сбоя файловая система приводит

свое состояние к последней контрольной точке, после чего обрабатывает

записи регистрации транзакций, сделанные после фиксации контрольной

точки: повторно выполняет все завершенные транзакции и отменяет