Treść książki
Przejdź do opcji czytnikaPrzejdź do nawigacjiPrzejdź do informacjiPrzejdź do stopki
82
Rozdział2:AdministrowanieusługamiADDS
Zrozumienieczynnychuprawnień
Czynneuprawnieniasąwynikowymiuprawnieniamidladanegopodmiotuzabezpieczeń,
takiegojakużytkowniklubgrupa,opartyminaskumulowanymwpływiewszystkichodzie-
dziczonychijawnychwpisówACE.Naprzykładnaszamożliwośćresetowaniahasłaużyt-
kownikamożewynikaćznaszegoczłonkostwawgrupie,którejudzielonouprawnienia
ResetPassword(Resetowaniehasła)dlajednostkiorganizacyjnejokilkapoziomówpowyżej
danegoobiektuużytkownika.Odziedziczoneuprawnienieprzypisanedogrupy
,doktórej
należymy
,spowodowałoczynneuprawnienieAllow::ResetPassword(Zezwalaj::Resetowanie
hasła).Czynneuprawnieniamogąbyćskomplikowane,jeśliweźmiesiępoduwagęupraw-
nieniazezwalająceiodmawiające,jawneiodziedziczonewpisyACEorazfakt,żemożna
należećdowielugrup,zktórychkażdamożemiećprzypisaneróżneuprawnienia.
Uprawnienia,czytoprzypisanedonaszegokontaużytkownika,czydogrupy
,doktórej
należymy
,sąrównoważne.OstateczniewpisACEmazastosowaniewzględemużytkownika.
Najlepsząpraktykąjestzarządzanieuprawnieniamiprzezprzypisywanieichdogrup,ale
możliwejestteżprzypisywaniewpisówACEpojedynczymużytkownikomlubkompu-
terom.Samfaktprzypisaniauprawnieniabezpośrednioużytkownikowinieoznacza,że
touprawnieniejestbardziejlubmniejważneniżuprawnienieprzypisanedogrupy
,do
którejnależyużytkownik.
Uprawnienia,którezezwalająnadostęp,kumulująsię.Jeśliużytkowniknależydokilku
grup,atymgrupomnadanouprawnienia,którezezwalająnaróżnedziałania,toużytkow-
nikbędziewstaniewykonywaćwszystkiezadaniaprzypisanedotychwszystkichgrup,jak
równieżzadaniaprzypisanebezpośredniodokontaużytkownika.
Uprawnienia,któreodmawiajądostępu,uchylająodpowiadająceimuprawnieniazezwa-
lającenadostęp.Jeśliużytkowniknależydojednejgrupy
,którejnadanouprawnieniado
resetowaniahaseł,iinnejgrupy
,którejodmówionouprawnieniadoresetowaniahaseł,
totaodmowauprawnieniauniemożliwiużytkownikowiresetowaniehaseł.
Uwaga
Oszczędnestosowanieuprawnieńodmawiającychdostępu
Zwykleniejestkonieczneprzypisywanieuprawnieńodmawiającychdostępu.Jeślipoprostunie
przypiszemyuprawnieniazezwalającegonadostęp,toużytkownicyniebędąmogliwykonywać
danegozadania.Przedprzypisaniemuprawnieniaodmawiającegodostępunależysprawdzić,czy
niemożnabyosiągnąćtegoceluprzezusunięcieuprawnieniazezwalającegonadostęp.Należy
korzystaćzuprawnieńodmawiającychdostępurzadkoiwsposóbprzemyślany.
Każdeuprawnieniejestbardzoszczegółowe.Mimożeużytkownikmożeniemiećmożliwo-
ściresetowaniahaseł,tonadalmożemiećpoprzezinneuprawnieniazezwalającenadostęp
możliwośćzmienianianazwylogowaniaużytkownikalubadresupocztyelektronicznej.
Wcześniejwtejlekcjidowiedzieliśmysięteż,żeobiektypotomnedziedzicządomyślnie
uprawnieniadziedzicznepoobiektachnadrzędnych,auprawnieniajawnemogąanulować
uprawnieniadziedziczne.Oznaczato,żejawneuprawnieniezezwalającenadostępwisto-
cieuchyliodziedziczoneuprawnienieodmawiającedostępu.
Niestety
,skomplikowanainterakcjapomiędzyuprawnieniamiużytkownika,grupy
,jaw-
nymi,odziedziczonymi,zezwalającymiiodmawiającymidostępumożeznacznieutrudnić
ustaleniefaktycznychuprawnień.IstniejekartaEffectivePermissions(Czynneuprawnienia)
wokniedialogowymAdvancedSecuritySettings(Zaawansowaneustawieniazabezpieczeń)
