16、网络权限管理与审计全解析

网络权限管理与审计全解析

1. 用户访问验证与权限基础

当用户尝试访问可安全保护的对象时，系统会将用户的安全标识符（SID）与自主访问控制列表（DACL）进行验证，以确保用户有权限访问。若用户成为新组的成员，直到用户注销并重新登录，其访问令牌才会更新新的组成员访问权限。

Active Directory和NTFS分区中的对象通过从父容器继承或由对象所有者、被授予权限的用户直接分配权限。对象的访问通过其DACL控制，显示哪些用户或组可以访问对象以及他们可以对对象执行的操作。

权限分配用于控制对网络资源的访问，可授予有限访问、完全控制或明确拒绝访问。若要更改对象的权限，必须是对象所有者或经所有者授权。

2. 隐式和显式权限

分配权限是授予或拒绝某人访问资源的第一步。可以授予、拒绝或不授予某人权限。若授予访问权限，用户将获得授予的访问级别以及可能继承的权限；若不授予，则为隐式拒绝；若选择拒绝框，则为显式拒绝。显式权限通常优先于继承权限。

例如，若对象从父对象继承了拒绝权限，但该对象有显式允许权限，则不会阻止访问。

3. 权限继承

为容器分配权限时，默认情况下这些权限会影响该容器及其内的所有对象，即权限继承。这有助于系统地应用权限，减少管理员错误，提高效率。

继承默认启用，但可根据管理或安全要求更改。若要查看特定权限是否继承，可检查对象的安全属性表，若允许或拒绝框变灰，则该权限从父容器继承。

更改对象的权限继承步骤如下：
1. 打开对象的属性表，点击“安全”选项卡，再点击“高级”按钮。
2. 点击“编辑”按钮。