Гордеев А.В. Операционные системы

Подождите немного. Документ загружается.

192

Глава 6. Файловые системы

!Г

Зона

Зона для размещения

файлов и каталогов

записей MFT

I Копия первых '

Зона для размещения

файлов и каталогов

Рис. 6.6. Структура тома NTFS

Очевидно, что структуру данных, называемую главной таблицей файлов, можно

рассматривать как файл. В этом файле MFT хранится информация обо всех ос-

тальных файлах диска, в том числе и о самом файле MFT. Таблица MFT поделена

на записи фиксированного размера в 1 Кбайт, и каждая запись соответствует како-

му-либо файлу (в общем смысле этого слова). Первые 16 файлов носят служеб-

ный характер и недоступны через интерфейс операционной системы — они назы-

ваются метафайлами, причем самый первый метафайл — это сам файл MFT. Часть

диска с метафайлами — единственная часть диска, имеющая строго фиксирован-

ное положение. Копия этих же 16 записей таблицы MFT (для надежности, посколь-

ку они очень важны) хранится в середине тома. Оставшаяся часть файла MFT

может располагаться, как и любой другой файл, в произвольных местах диска —

восстановить его положение можно с помощью самого файла MFT. Для этого до-

статочно взять первую запись таблицы MFT.

Упомянутые первые 16 файлов NTFS (метафайлы) являются служебными; каж-

дый из них отвечает за какой-либо аспект работы системы. Метафайлы находятся

в корневом каталоге тома NTFS. Их имена начинаются с символа «$», хотя полу-

чить какую-либо информацию о них стандартными средствами сложно. В табл. 6.6

приведены основные метафайлы и указано их назначение. Таким образом, можно

узнать, например, сколько операционная система тратит на каталогизацию тома,

посмотрев размер файла SMFT.

Таблица 6.6. Метафайлы NTFS

Имя метафайла Описание

SMFT

$MFTmirr

SLogFile

$Volume

$AttrDef

SBitmap

$Boot

Сам файл с таблицей MFT

Копия первых 16 записей таблицы MFT, размещенная посередине тома

Файл журнала

Служебная информация — метка тома, версия файловой системы т. Д.

Слисок стандартных атрибутов файлов на томе

Корневой каталог

Битовая карта свободного места тома

Загрузочный сектор (если раздел загрузочный)

файловая система NTFS

ТУЗ

Имя метафайла Описание

$Quota Файл, в котором записаны права пользователей на использование

дискового пространства (этот файл начал использоваться лишь

в Windows 2000 с системой NTFS 5.0)

$Upcase Файл с таблицей соответствия строчных и прописных букв в именах файлов.

В NTFS имена файлов записываются в кодировке Unicode (всего доступно

65 тысяч различных символов, поэтому искать сточные и прописные

эквиваленты символов — нетривиальная задача)

Итак, все файлы тома представлены в таблице MFT. За исключением собственно

данных, в этой структуре хранится вся информация о файлах: имя файла, размер,

положение на диске отдельных фрагментов и т. д. Если для информации не хвата-

ет одной записи MFT, то используются несколько записей, причем не обязательно

последовательных. Если файл имеет не очень большой размер, тогда в ход идет

довольно удачное решение: данные файла хранятся прямо в соответствующей за-

писи таблицы MFT в оставшемся от служебных данных месте. Таким образом,

файлы, занимающие не более сотни байтов, обычно не имеют своего «физическо-

го» воплощения в основной файловой области — все данные таких файлов хра-

нятся прямо в таблице MFT.

Файл на томе в системе NTFS идентифицируется так называемой файловой ссыл-

кой (file reference), которая представляется как 64-разрядное число. Файловая ссыл-

ка состоит из номера файла, который соответствует позиции его файловой записи

в таблице MFT, и номера последовательности. Последний увеличивается всякий

раз, когда данная позиция в MFT используется повторно, что позволяет файловой

системе NTFS выполнять внутренние проверки целостности.

Каждый файл на диске в системе NTFS представлен с помощью потоков данных

(streams)

, то есть у файла нет «просто данных», а есть «потоки данных». Чтобы

правильнее понять эту сущность (поток данных), достаточно знать, что один из

потоков имеет привычный нам смысл — это собственно данные файла. Кстати,

большинство атрибутов файла (за исключением основных) — это тоже потоки дан-

ных. Таким образом, получается, что основой файла является номер записи в таб-

лице MFT, а все остальное, включая его потоки данных, не обязательно. Данный

подход довольно удобен. Так, файлу можно назначить еще один поток данных, за-

писав в него любые данные, например информацию об авторе и содержании фай-

ла, как это сделано в Windows 2000 (эта информация представлена на одной из

вкладок диалогового окна свойств файла). Здесь имеется определенная аналогия

Расширенными атрибутами в HPFS. Интересно, что эти дополнительные потоки

не видны стандартными средствами для работы с файлами операционной систе-

мы, наблюдаемый размер файла — это лишь ^размер потока основных (традицион-

ных) данных. Можно, к примеру, удалить файл нулевой длины, и при этом освобо-

ИТся несколько мегабайтов свободного места — просто потому, что какая-нибудь

итрая» программа или технология назначила ему поток дополнительных (аль-

Рнативных) данных такого большого размера. Однако на самом деле опасаться

' н "

утать с потоками выполнения (threads).

194 Глава 6. Файловые системы

подобных ситуаций не следует (хотя гипотетически они возможны), поскольку

пока механизм потоков данных в полной мере не используются. Просто необходи-

мо иметь в виду, что файл в системе NTFS — это более глубокое и глобальное по-

нятие, чем мы себе представляем.

Стандартные атрибуты файлов и каталогов на томе NTFS имеют фиксированные

имена и коды типа (табл. 6.7).

Таблица 6.7. Атрибуты файлов в системе NTFS

Системный атрибут Описание атрибута

Стандартная

информация о файле

Список атрибутов

Имя файла

Дескриптор защиты

Данные

Корень индекса,

размещение индекса,

битовая карта (только

для каталогов)

Расширенные

атрибуты HPFS

Традиционные атрибуты («только для чтения», «скрытый»,

«архивный», «системный»), отметки времени, включая время

создания или последней модификации, число каталогов,

ссылающихся на файл

Список атрибутов файла и файловая ссылка на запись в таблице MFT,

в которой расположен каждый из атрибутов. Файловая ссылка

используется, если файлу необходимо более одной записи в MFT

Имя файла в кодировке Unicode. Файл может иметь несколько имен,

подобно тому как это имеет место в UNIX. Это случается, когда

имеется связь POSIX к данному файлу или если у файла есть

автоматически сгенерированное имя в формате 8.3

Структура данных, соответствующая списку управления доступом

(ACL) и предохраняющая файл от несанкционированного доступа.

Дескриптор защиты определяет, кто владелец файла и кто имеет те

или иные разрешения доступа к нему

Собственно данные файла, его содержимое. В NTFS у файла

по умолчанию есть один безымянный атрибут данных и могут быть

дополнительные именованные атрибуты данных. У каталога нет

атрибута данных по умолчанию, но он может иметь необязательные

именованные атрибуты данных

Атрибуты, используемые для индексов имен файлов в больших

каталогах

Атрибуты, используемые для реализации расширенных атрибутов

HPFS для подсистемы OS/2, а также OS/2-клиентов файл-серверов

Windows NT

Разрешения NTFS

Разрешения NTFS (NTFS permissions) — это набор специальных расширенных ат-

рибутов файла или каталога (папки), заданных для ограничения доступа пользо-

вателей к этим объектам. Они имеются только на томах, где установлена файловая

система NTFS. Разрешения обеспечивают гибкую защиту, так как их можно при-

менять и к каталогам, и к отдельным файлам; они распространяются как на ло

кальных пользователей (работающих на компьютерах, где находятся защищеннЫ

папки и файлы), так и на пользователей, подключающихся к ресурсам по сет

гВайловая система NTFS

195

Не следует путать разрешения с правами. Это совершенно разные понятия; по-

дробнее об этом написано в подразделе «Модель безопасности Windows NT/2000/

ХР». К сожалению, в технической литературе да и в обиходе часто путают эти тер-

мины. Истоком этого прежде всего являются ошибки перевода оригинальных анг-

лоязычных материалов.

Разрешения NTFS служат, прежде всего, для защиты ресурсов от локальных пользо-

вателей, работающих за компьютером, на котором располагается ресурс. Однако

их можно использовать и для удаленных пользователей, подключающихся к об-

щей папке по сети. Очевидно, что в этом случае на пользователей действуют два

механизма ограничения в доступе к ресурсам: сначала сетевой, а уже затем локаль-

ный, файловый. Поэтому итоговые разрешения на доступ будут определяться как

минимальные из сетевых и файловых разрешений. Здесь необходимо сказать, что

итоговые сетевые разрешения на доступ к ресурсам, которыми будет обладать

пользователь при работе в сети, вычисляются как максимум разрешений в списке

разрешений доступа, поскольку пользователь может быть членом нескольких групп,

которые упомянуты в списке. Аналогично и для разрешений NTFS: пользователь

получает максимальные разрешения, перечисленные в списке управления досту-

пом, и только разрешение No Access (нет доступа)

может перечеркнуть все осталь-

ные разрешения.

Разрешения NTFS обеспечивают высокую избирательность защиты: для каждого

файла в папке можно установить свои разрешения. Например, одному пользо-

вателю можно позволить считывать и изменять содержимое файла, другому толь-

ко считывать, третьему вообще запретить доступ. Заметим, однако, что настоя-

тельно рекомендуется устанавливать разрешения в списках ACL, используя не

учетные записи отдельных пользователей, а учетные записи групп пользовате-

лей.

Итак, каждый файловый объект имеет свой список управления доступом. Этот

список имеет приоритет над списком управления доступом того каталога, в кото-

ром находится файловый объект. Подобно корневому каталогу файл-каталог, в от-

личие от простого файла, является объектом контейнерного типа, то есть он мо-

жет содержать

другие

файловые объекты. При создании

НСРОГО

файлового объекта

он наследует разрешения NTFS. Поэтому при копировании файловых объектов

они получают разрешения доступа, совпадающие с родительскими. Однако при,

перемещении файлов и каталогов в пределах одного диска списки управления до-

ступом не меняются. Объясняется этот факт просто. Списки управления доступом

являются одним из потоков данных файлового объекта, и доступ к ним осуществ-

ляется через элемент каталога. Поэтому изменение информации о местонахожде-

нии файла никак не должно влиять ни на один из потоков данных файла. Если же

файлы (и подкаталоги) переместить с одного диска с NTFS на другой, то на новом

Диске создаются новые элементы каталогов и они должны унаследовать разреше-

ния доступа того контейнера, в котором они создаются. Это очень важное обстоя-

ельство, и при работе с разрешениями NTFS не следует о нем забывать.

Windows 2000/XP вместо ста1Гдартного разрешения No Access устанавливается запрет (deny) на

соответствующее разрешение.

196 Глава 6. Файловые системы

Мы уже упоминали про списки ACL. Они могут быть у многих объектов. В NTFS

у каждого файлового объекта на самом деле имеется два списка. Первый называ-

ется DACL (Discretionary ACL— дискреционный список управления доступом)

Именно этот список описывает ограничения на доступ к файловому объекту, пе-

речисляя группы и пользователей и указывая те операции, которые разрешены и

запрещены. Этот список может изменить любой пользователь, имеющий разреше-

ние на изменение разрешений (change permissions) для данного файлового объек-

та. Такое разрешение обычно обозначается буквой Р (от permissions — разреше-

ния).

Второй список называется SACL (System ACL — системный список управления

доступом). Этот список предназначен для аудита, и его могут составлять и редак-

тировать только администраторы системы. Изначально списки SACL пусты, но их

можно сформировать. В зависимости от того, успех или отказ в той или иной опе-

рации над файловым объектом необходимо проконтролировать, администратор

формирует список SACL Элементами такого списка являются записи типа:

SI0 - разрешение - успех/отказ

Здесь аббревиатура SID означает Security Identifier (идентификатор безопасно-

сти). Напомним, что во многих операционных системах для аутентификации и ав-

торизации пользователей используются учетные записи (см. главы 1 и 11). Учетные

записи бывают групповыми и пользовательскими. В системах класса Windows NT

(2000/ХР) каждой учетной записи поставлен в однозначное соответствие ее иден-

тификатор (в данном случае — SID).

Обрабатываться элементы списка SACL будут только в том случае, если в системе

включен аудит на доступ к файловым объектам. Если в системе разрешен аудит

файловых операций, то операционная система при их выполнении сравнивает за-

писи в SACL с запросом и с записями в списке DACL и фиксирует в журнале

безопасности соответствующие события.

Нас, прежде всего, должны интересовать списки DACL, которые и определяют

разрешения на доступ к файлам и каталогам.

Каждый файловый объект имеет так называемую маску доступа (access mask).

Маска доступа включает стандартные (standard), специфичные (specific) и родо-

вые (generic) права доступа. Мы называем их здесь правами, чтобы отличать от тех

разрешений, которые перечисляются в пользовательском интерфейсе,

а Стандартные права доступа определяют операции, которые являются общи-

ми для всех защищенных объектов. Право Read_Control позволяет прочитать

информацию из дескриптора безопасности объекта. Право Write_DAC дает

возможность изменить дискреционный список прав доступа. Право Write J3wner

позволяет записать (изменить) владельца объекта. Право Synchronize дае

возможность использовать объект для синхронизации. Наконец, есть пра-

во Delete, которое позволяет удалить объект.

• Специфичные права доступа указывают основные права, характерные ДЛ

файловых объектов. Так, например, специфичные права Read_Data, Write_Da

и Append_Data позволяют прочитать данные, записать информацию и, соот

ветственно, добавить данные к файлу. Права Read_Attributes, Write_Attributes

файловая система NTFS

197

и Read_EA, Write_EA позволяют, соответственно, прочитать или записать ат-

рибуты или расширенные атрибуты файла или каталога. Наконец, такое

специфичное право доступа, как Execute, позволяет запустить файл на вы-

полнение.

• Родовые права доступа используются системой; они определяют комби-

нации стандартных и специфичных прав. Например, родовое право досту-

па Generic_Read, примененное к файлу, включает в себя следующие специ-

фичные и стандартные права: Read_Control, File_Read_Data, File_Read_Attributes,

File_Read_EA, Synchronize.

На основе рассмотренных выше прав доступа, которые используются при програм-

мировании, для пользователей, работающих с файлами, создан механизм разре-

шений. Дело в том, что управлять доступом пользователей к файлам и каталогам

на основе маски доступа, то есть путем указания соответствующих битов, неудоб-

но. Поэтому для практического администрирования применяются разрешения

NTFS, которые позволяют скрыть от пользователя низкоуровневый механизм прав

доступа.

Поскольку операционные системы Windows 2000/XP нынче становятся основны-

ми для персональных компьютеров, а в дисциплинах учебного плана многие очень

важные вопросы, касающиеся практической работы в этих системах, к сожалению,

не изучаются, мы изложим не только основные теоретические вопросы работы с

разрешениями NTFS, но и осветим некоторые детали интерфейса.

Итак, разрешения NTFS по-разному представлены в операционных системах Win-

dows NT 4.0 и семействе систем Windows 2000/XP. Отличия эти, прежде всего,

касаются интерфейса, то есть программа Проводник (Explorer) по-разному ото-

бражает те разрешения, которые на самом деле присвоены файловому объекту в

виде разрешений доступа и обрабатываются на программном уровне. Разрешения

в Windows 2000/XP ближе к тем специфичным, стандартным и родовым правам

доступа, о которых мы говорили выше, однако для управления доступом к файлам

они не так удобны, как разрешения Windows NT 4.0.

Для начала рассмотрим механизм разрешений NTFS для систем Windows NT 4.0.

Во многих отношениях он является более простым и, соответственно, более по-

нятным.

Разрешения NTFS в Windows NT 4.0

В NTFS для Windows NT 4.0 разрешения на доступ к файлам и каталогам бывают

индивидуальными, стандартными и специальными.

индивидуальные разрешения. Под индивидуальными разрешениями понимают

набор прав, позволяющий предоставлять пользователю доступ того или иного типа.

& Windows NT 4.0 этих разрешений всего шесть: Read (чтение), Write (запись),

execute (выполнение), Delete (удаление), Change Permissions (смена разрешений) и

ake Ownership (смена владельца). В табл. 6.8 описаны разрешенные пользователю

°перации с файлом или каталогом при предоставлении одного из индивидуаль-

НЬ1Х

Разрешений NTFS на файловый объект.

198

Глава 6. Файловые системщ

Таблица 6.8. Индивидуальные разрешения на файлы и каталоги

Индивидуальное

разрешение NTFS

Разрешенные операции

с каталогом

Разрешенные операции

с файлом

Чтение (R — Read)

Запись (W — Write)

Выполнение

(X — execute)

Удаление (D — Delete)

Смена разрешений

(Р — change

Permissions)

Смена владельца

(О — take Ownership)

Просмотр имен каталога,

файлов в нем, разрешений

на доступ к нему, атрибутов

каталога и сведений

о его владельце

Добавление в каталог файлов

и папок; изменение атрибутов

каталога; просмотр атрибутов

каталога, сведений о владельце

и разрешений на доступ к нему

Просмотр атрибутов каталога;

изменения во вложенных папках;

просмотр разрешений на доступ

к каталогу и сведений

о его владельце

Удаление каталога

Изменение разрешений

на доступ к каталогу

Назначение себя владельцем

каталога

Просмотр содержимого файла,

разрешений на доступ к нему, его

атрибутов и сведений о его

владельце

Просмотр разрешений на доступ

к файлу и сведений о владельце;

изменение атрибутов файла;

изменение и добавление данных

файла

Просмотр разрешений на доступ

к файлу, его атрибутов и сведений

о его владельце; запуск файла

(если он является исполняемым)

Удаление файла

Изменение разрешений

на доступ к файлу

Назначение себя владельцем

файла

Индивидуальные разрешения по отдельности дают весьма ограниченные возмож-

ности на доступ к файлам и каталогам и управление ими в разделах NTFS. Обыч-

но же для выполнения над файлами или папками действий определенного уровня

требуются наборы индивидуальных разрешений. Такие наборы в файловой систе-

ме NTFS называются стандартными разрешениями. Именно они доступны в списке

Type of Access (Тип доступа) диалоговых окон File Permissions и Directory Permissions

программы Explorer (Проводник) в Windows NT.

Стандартные разрешения. Для того чтобы не использовать каждый раз сочетания

индивидуальных разрешений, введены так называемые стандартные разрешения

NTFS, которыми все и пользуются в большинстве случаев. Они представляют со-

бой наиболее применяемые (с точки зрения разработчиков Microsoft) комбинации

индивидуальных разрешений. Одновременное назначение нескольких индиви-

дуальных разрешений для файла или каталога значительно упрощает админи-

стрирование.

Приведем таблицу стандартных разрешений на файлы и каталоги системе N ГгЬ

(табл. 6.9). В таблице перечислены стандартные разрешения для папок и указаны

соответствующие им индивидуальные разрешения NTFS.

Теперь поясним эти разрешения. Далее первыми в скобках записаны разрешен

на каталог, вторыми — разрешения на файлы в этом каталоге.

• List (RX, разрешения не указаны) - просмотр. Пользователь может только пр<^

смотреть содержимое папки (список файлов и вложенных папок) И пере

Файловая система NTFS

199

ти во вложенную папку, но не может получить доступ к новым файлам, со-

зданным в этой папке.

п Add (WX, разрешения не указаны) — добавление. Пользователь может создать

в папке новые файлы и вложенные папки, но не может просмотреть ее теку-

щее содержимое.

р Add & Read (RWX, RX) — чтение и запись. Пользователь может создавать в папке

новые файлы или вложенные папки, читать содержимое самой папки и со-

держащихся в ней файлов и вложенных папок, а также запускать прило-

жения, которые находятся в этой папке, но не может изменить содержимое

файлов в этой папке.

• Change (RWXD, RWXD) — изменение. Пользователь может прочитать, создавать и

удалять файлы и вложенные папки, а также запускать находящиеся в этой

папке приложения.

Q Full Control (все разрешения, все разрешения) — полный доступ. Пользователь мо-

жет читать, создавать и изменять файлы и вложенные папки, изменять раз-

решения на папку и файлы внутри нее, а также стать владельцем папки и

содержащихся в ней файлов.

Таблица 6.9. Стандартные разрешения на файлы и каталоги

Стандартные разрешения Комбинации индивидуальных разрешений

Каталоги Файлы

No Access Нет доступа Нет разрешений

Нет разрешений

List Просмотр (RX)

Не указано

Read Чтение (RX) (RX)

Add Добавление (WX)

Не указано

Add & Read Чтение и запись (RWX) (RX)

Change Изменение (RWXD) (RWXD)

Full Control Полный доступ Все разрешения

Все разрешения

Разрешение No Access (нет доступа) является самым сильным в том плане, что оно

запрещает любой доступ к файлу или папке, даже если пользователь является чле-

ном группы, которой дано разрешение на доступ. Стандартное разрешение No Access

устанавливается, когда снимают все индивидуальные разрешения NTFS. Имейте

в виду: оно обозначает не отсутствие разрешений, а явный запрет на доступ и от-

меняет для пользователя все разрешения, установленные в остальных строках спис-

ка управления доступом.

"азрешения Full Control (полный доступ) и Change (изменение) отличаются тем, что

второе не позволяет менять разрешения и владельца объекта, то есть среди состав-

ляющих его индивидуальных разрешений отсутствуют разрешения на смену раз-

решений (Р) и смену владельца (0).

Пе

Циалъные разрешения. И наконец, специальные разрешения. Это комбинации

чдивпдуальных разрешений R, W, X, D, Р и 0, не совпадающие ни с одним из разреше-

200

Глава 6. Файловые системы

ний стандартного набора. Установить специальные разрешения NTSF в диалоговом

окне разрешений (File Permissions или Directory Permissions) можно только правкой

существующих разрешений для пользователя или группы. Иными словами, чтобы

установить для кого-нибудь специальное разрешение NTFS, вам придется устано-

вить сначала какое-либо из стандартных разрешений и лишь затем преобразовать

его в специальное. При этом для папок можно отдельно регулировать доступ как к

самой папке (Special Directory Access), так и к находящимся в ней файлам (Special File

Access). Таким образом, удается весьма дифференцированно управлять доступом

пользователей к файлам и папкам на томах с файловой системой NTFS.

Применение разрешений NTFS

Разрешения NTFS присваиваются учетным записям пользователей и групп так

же, как и разрешения доступа к общим сетевым ресурсам. Пользователь может

получить разрешение либо непосредственно, либо являясь членом одной или не-

скольких групп, имеющих разрешение.

Применение разрешений NTFS для каталогов сходно с применением разрешений

доступа к общим ресурсам. Управление разрешениями на каталог или файл осу-

ществляется, как правило, через Проводник. Для этого необходимо щелкнуть на

объекте правой кнопкой мыши, выбрать в контекстном меню команду Properties

(Свойства) и в открывшемся окне перейти на вкладку Security (Безопасность). На этой

вкладке имеется три раздела. Первый (верхний) с кнопкой Permissions (Разреше-

ния) как раз и позволяет просмотреть и/или изменить разрешения, то есть управ-

лять списком DACL. Второй (средний) с кнопкой Audit (Аудит) предназначен для

управления списком S ACL. Наконец, последний (нижний) раздел с кнопкой Owner

(Владелец) предназначен для просмотра и/или смены владельца файлового объекта.

Кроме того, имеется возможность устанавливать и/или изменять списки разреше-

ний NTFS через интерфейс командной строки. Для этого используется следую-

щая команда:

CACLS ИмяФайла [/Т] [/Е] [/С] [/G ИмяПользователя:доступ] [/R ИмяПользователя [...]] [/Р

ИмяПользователя:доступ [...]] [/D ИмяПользователя [...]]

Здесь:

а ИмяФайла — имя файла со списком управления доступом;

Q /Т — замена списка управления доступом для указанных файлов в текущем ка-

талоге и всех подкаталогах;

• /Е — изменение списка управления доступом вместо его замены;

О /С — продолжение выполнения при ошибках отказа в доступе;

• /G ИмяПользователя:доступ — определение разрешений для указанных пользо-

вателей, где параметр доступ равен:

•

R — чтение,

•

С — изменение (запись),

• F — полный доступ;

Q /R ИмяПользователя — отзыв разрешений для пользователя (только вместе с клю

чом/Е);

/Р ИмяПользователя:доступ — замена разрешений для указанного пользователя,

где параметр доступ равен:

•

N — отсутствует,

•

R — чтение,

•

С — изменение (запись),

• F — полный доступ;

• /D ИмяПользователя — запрет на доступ для указанного пользователя.

Для выбора нескольких файлов используются подстановочные знаки. В команде

можно указать несколько пользователей.

У каждого файлового объекта имеется его владелец и создатель. Пользователь,

создавший файл или папку на томе NTFS, становится владельцем этого файла или

папки. Владелец всегда имеет право назначать и изменять разрешения на доступ к

своему файлу или папке, даже если у него нет соответсвующего разрешения. Если

этот пользователь является членом группы Administrators (Администраторы), фак-

тическим владельцем становится вся группа Administrators.

Изначально все пользователи имеют все разрешения на файлы и каталоги. Оче-

видно, что при этом они могут изменять эти разрешения, которые оформляются в

виде списка. Напомним, что такой список называют списком ACL, хотя на самом

деле, как уже упоминалось, речь идет о списке DACL. Список DACL состоит из

записей АСЕ (Access Control Entry — запись списка управления доступом); в каж-

дой из них указывается идентификатор безопасности (SID)

и соответствующая

ему маска доступа, которая строится на основе заданных пользователем разреше-

ний. Другими словами, каждому идентификатору безопасности ставится в соот-

ветствие перечень индивидуальных разрешений. Например, список на некий ка-

талог может выглядеть следующим образом:

• Everyone — List;

• Engineers —Add & Read;

• Managers — Change;

• Administrators-Full Control.

Этот список следует понимать так: все имеют разрешение на просмотр содержи-

мого данного каталога, члены группы Engineers имеют разрешение на чтение со-

держимого каталога и запись в него новых файлов, члены группы Managers могут

изменять свободно каталог и его содержимое, а члены группы Administrators имеют

все разрешения.

в отличие от разрешений доступа к общим (сетевым) ресурсам, разрешения NTFS

защищают локальные ресурсы. В частности, файлы и папки, содержащиеся в дан-

ном каталоге, могут иметь иные разрешения, нежели он сам.

•это уникальная 128-разрядная кодовая запись, на основании которой операционная система может

Идентифицировать пользователей. Именно SID сопровождает все запросы к операционной системе

На получение того или иного ресурса, в результате чего она может вычислить и разрешения, и нрава

Пользователей на запрашиваемый ресурс.