| Модель распределенной безопасности Windows Server 2003
Модель
распределенной безопасности Windows Server 2003 основана на трех основных концепциях.
- Каждая рабочая станция и сервер имеют прямой
доверенный путь (trust path) к контроллеру домена, членом которого является данная
машина. Доверенный путь устанавливается службой NetLogon с помощью аутентифицированного
соединения RPC с контроллером домена. Защищенный канал устанавливается и с другими
доменами с помощью междоменных доверительных отношений. Этот канал используется
для проверки информации безопасности, включая идентификаторы безопасности (Security
Identifiers, SID) пользователей и групп.
- Перед выполнением
запрошенных клиентом операций сетевые службы имперсонализируют контекст безопасности
этого клиента. Имперсонализация основана на маркере адреса безопасности, созданном
локальным администратором безопасности (Local Security Authority, LSA). Он представляет
собой авторизацию клиента на сервере. Поток, находящийся на сервере и соответствующий
данному клиенту, имперсонализирует контекст безопасности клиента и выполняет операции
в соответствии с авторизацией данного клиента, а не в соответствии с идентификатором
безопасности сервера. Имперсонализация поддерживается всеми службами Windows Server
2003, включая, например, службу удаленного файлового сервера CIFS/SNB. Аутентифицированный
RPC и DCOM поддерживают имперсонализацию для распределенных приложений. Серверы
семейства BackOffice: Exchange Server, SNA Server и Internet Information Server
также поддерживают имперсонализацию.
- Ядро Windows
Server 2003 поддерживает объектно-ориентированное управление доступом, сравнивая
SID в маркере доступа с правами доступа, определенными в списке управления доступом
данного объекта. Каждый объект Windows Sewer 2003 (ключи реестра, файлы и каталоги
NTFS, общие ресурсы, объекты ядра, очереди печати и т. д.) имеют собственные списки
управления доступом. Ядро Windows Server 2003 проверяет разрешения при каждой
попытке доступа к данному объекту. Управление доступом и аудит осуществляются
с помощью настройки свойств безопасности объекта, позволяющих предоставить пользователю
или группе доступ к объекту. Управление авторизацией выполняется централизованно
посредством включения пользователей в локальные группы системы, которым предоставлены
необходимые права доступа.
В операционной системе Windows
Server 2003 существуют дополнительные средства обеспечения безопасности — аутентификация
клиента с помощью открытого ключа посредством SSL/TLS и протокола Kerberos версии
5, которые интегрированы в систему безопасности.
| 