- Tạo file backup ảnh hệ thống:
3. EVERYONE: INTERACTIVE + NETWORK 4 SYSTEM: hệ điều hành.
III.3.4 CƠ CHẾ AN TOÀN TRÊN FILE VÀ THƯ MỤC
Đảm bảo tính an toàn dữ liệu là một trong những đặc tính rất ưu việt của Windows 2000 và là một yêu cầu cơ bản của bất kì một hệ điều hành mạng nào. Trên Windows 2000, một đối tượng dữ liệu (file, thư mục) trong cùng một thời điểm có thể có nhiều người cùng truy cập đến. Việc dùng chung như vậy gọi là sự chia sẻ file trên mạng, điều đó dẫn đến việc tính bảo mật và nhất quán của dữ liệu có thể bị vi phạm. Để thực hiện điều đó, Windows 2000 đã cung cấp những khả năng thiết lập cơ chế an toàn trên một đối tượng dữ liệu như đặt quyền hạn, thiết lập những giao tác (transaction) trên một đối tượng dữ liệu, khả năng giám sát việc truy cập của người dùng...- Một giao tác trên một đối tượng dữ liệu là một tập hợp các thao tác truy cập đến đối tượng dữ liệu đó sao cho khi thành công một giao tác thì cũng tương ứng tất cả các thao tác cũng hoàn tất một cách trọn vẹn, ngược lại nếu giao tác không thành công thì đảm bảo đối tượng dữ liệu trở về tình trạng ban đầu lúc trước khi thực hiện giao tác.
An toàn trên file và thư mục là một phần trong cơ chế an toàn chung đối với mọi đối tượng trên Windows 2000. Do đó, một số tính năng an toàn chung cũng được áp dụng cho file và thư mục tương tự như các đối tượng khác. Ngoài ra, để có thể thực hiện cơ chế an toàn đến một đối tượng file đòi hỏi Windows 2000 phải được cài với hệ thống file NTFS, đối với FAT an toàn chỉ đến cấp thư mục.
1. Đối tượng file và việc điều khiển một thao tác trên file:
Đối tượng file là một sự logic hóa một tập hợp dữ liệu có cấu trúc hoặc không được lưu trữ trên thiết bị lưu trữ. Do đó, khi thao tác trên một đối tượng file, có thể người sử dụng không cần biết cấu trúc thật sự của file và cách mà hệ thống sử lí với nó. Một đối tượng file có thể chứa những dữ liệu đặc biệt của hệ thống hay đơn giản là dữ liệu của người dùng thông thường và để đảm bảo việc truy cập là hợp lệ, Windows 2000 cho phép thiết lập thuộc tính an toàn trên một đối tượng theo nhiều mức độ khác nhau, hạn chế hoặc ngăn cấm những truy cập không được phép. Một cách ngầm định, khi một đối tượng dữ liệu (file, thư mục) được tạo ra thì nó được gán một số quyền ngầm định dùng chung cho mọi người dùng và các quyền dành riêng cho chủ sở hữu đối tượng đó. Ngoài ra, các quyền mặc định trên một đối tượng file có thể giới hạn trong phạm vi một máy tính Windows 2000 hay như là một tài nguyên chung trên mạng.
Như đã đề cập, cơ chế an toàn trên file được áp dụng như mọi đối tượng khác. Việc tạo, sửa đổi hay xoá file cũng được xử lý thông qua thành phần thực thi Object Manager thông qua sự giám sát của Bộ phận giám sát an toàn (SRM). Tất cả những yêu cầu thao tác trên một đối tượng file (bao gồm các thao tác như: mở file, tạo mới, xóa file...) của người dùng trước khi đến được bộ phận Object Manager đều phải qua quá trình xác nhận của SRM. SRM sẽ kiểm tra và so sánh những thông tin
Giáo trình Quản trị mạng máy tính nâng cao
biết rằng thao tác yêu cầu đã bị từ chối. Ngược lại thì yêu cầu sẽ được chuyển đến Object Manager. Object Manager tạo ra file và gửi một mã trạng thái về cho I/O Manager thông báo thao tác đã thành công hay thất bại.
Tương tự như mọi đối tượng khác, những thông tin về an toàn trên một đối tượng file được lưu trữ trong Bảng mô tả an toàn Security Descriptor. Bảng này chứa một số thông tin liên quan đến file như: Tên file, Thư mục chứa file, các SID và các Danh sách điều khiển truy cập. Danh sách điều khiển truy cập cho một đối tượng file gọi là Danh sách điều khiển truy cập tùy chọn (tự do) Descretionary ACL chỉ ra ai có quyền truy cập đến file, ai bị ngăn cấm. Mỗi ACE trong DACL sẽ chỉ đến một đối tượng người dùng và chứa các quyền mà người đó có đối với file trong Mặt nạ truy cập Access Mask.
Mặt nạ truy cập của một đối tượng file có chứa 3 kiểu quyền: kiểu xác định, kiểu chuẩn và kiểu chung.
Kiểu xác định gồm có: FILE_READ_DATA, FILE_WRITE_DATA, FILE_APPEND_DATA, FILE_READ_EA, FILE_WRITE_EA, FILE_EXECUTE, FILE_READ_ATTRIBUTES, FILE_WRITE_ATTRIBUTES (xin xem phần I. Những thông tin về an toàn). Kiểu chung gồm: FILE_GENERIC_READ, FILE_GENERIC_WRITE, FILE_GENERIC_EXECUTE.
Có một sự phân biệt giữa DACL rỗng (empty DACL) và DACL không được gán (unassigned DACL). Một DACL rỗng có nghĩa là không có quyền truy cập nào cung cấp cho đối tượng đó và không ai được phép truy cập, tuy nhiên, chủ sở hữu của đối tượng vẫn có thể thay đổi DACL và cung cấp lại các quyền. DACL không được gán nghĩa là không có sự bảo vệ nào đối với đối tượng và mọi người đều có quyền truy cập.
2. Quyền hạn trên file a. Phân loại quyền:
Các quyền (permissions – có thể gọi là sự cho phép) được áp đặt đối với file và thư mục là khác nhau và được phân phối hay hạn chế tùy thuộc thao tác truy cập đến đối tượng. Một đối tượng dữ liệu (file, thư mục) trên Windows 2000 được cung cấp 2 loại quyền: quyền đặc biệt và quyền chuẩn.
Các quyền đặc biệt gồm: 1. R (Read): đọc
4. D (Delete): xóa
5. P (Change Permissions): thay đổi quyền 6. O (Take Ownership): lấy quyền sở hữu
Các thao tác và áp dụng quyền đặc biệt đối với file : Các thao tác và áp dụng quyền đặc biệt đối với thư mục : Các quyền tiêu chuẩn gồm:
Các quyền đối với file
1. Read (RX) : đọc và chạy chương trình (nếu là file chương trình) 2. Change (RWXD) : đọc, sửa và xóa file
3. Full Control (RWXDOP) : đọc, sửa, xóa, đặt quyền hạn và lấy quyền sở hữu. 4. No Access : cấm truy cập, ngay cả khi người dùng là thành viên của nhóm đã được cấp
quyền truy cập.
Các quyền đối với thư mục được biểu diễn theo dạng sau
(Các quyền đối với bản thân thư mục)(Các quyền thừa kế cho những file trong thư mục đó)
1. List (RX)(Không xác định) : người dùng chỉ có quyền liệt kê file và thư mục con trong thư mục này. Ngoài ra, nếu người dùng có quyền có thể thay đổi thư mục này và không thể truy cập đến những file mới tạo sau khi đặt quyền này.
2. Read (RX)(RX) : đọc nội dung của file trong thư mục và chạy ứng dụng trong thư mục đó.
3. Add (WX)(Không xác định) : có thể thêm file vào thư mục nhưng không thể đọc nội dung hay thay đổi file.
Giáo trình Quản trị mạng máy tính nâng cao
6. Full Control (RWXDPO)(RWXDPO) : có thể thêm, đọc, sửa đổi, xóa, đặt quyền và lấy quyền sở hữu của thư mục và các file trong thư mục đó.
7. No Access ()() : cấm truy cập.
Ví dụ : Một thư mục được áp đặt quyền là (RWX)(RX) có nghĩa là (RWX) là quyền đối với thư mục và (RX) là quyền đối với các file trong thư mục đó. Như vậy người dùng có quyền thêm file vào trong thư mục và đọc nó nhưng không được sửa đổi các file trong thư mục đó.
Một số đặc điểm quan trọng khi thiết lập quyền trên một đối tượng file và thư mục:
1. Có thể ngăn chặn người dùng truy cập đến một quyền bằng cách không đáp ứng
quyền đến người đó. Nghĩa là không cần phải gán quyền No Access đến từng người
hoặc nhóm mà không truy cập đến file và thư mục.
2. Quyền hạn có tính chất tích lũy. Nghĩa là, nếu người dùng A được gán quyền Read trên thư mục D:\BAITAP và nhóm mà chứa người dùng A có quyền Change trên thư mục đó thì quyền tổng hợp dành cho người dùng là
Read + Change = Change
Quyền hạn có tính kế thừa: những thư mục con và những file được tạo ra trong thư mục D:\BAITAP sẽ thừa hưởng những quyền có trên thư mục D:\BAITAP. Theo quy định, người dùng thuộc nhóm Administrators và Server Operators có toàn quyền thao tác việc phân quyền trên file và thư mục, bao gồm cả những file và thư mục chia sẻ. Quyền hạn trên file và thư mục có thể được phân phối cho những người dùng và nhóm sau:
1. Người dùng Domain trên vùng có chứa server 2. Người dùng Domain trên một Trusted domain 3. Những nhóm cục bộ trên vùng chứa server 4. Những nhóm toàn cục trên vùng chứa server 5. Những nhóm toàn cục trong một Trusted domain
6. Các nhóm và người dùng đặc biệt: Everyone, INTERACTIVE, NETWORK, SYSTEM, CREATOR OWNER.
thể có nhiều tên chia sẻ và được gán những quyền hạn khác nhau ứng với mỗi tên chia sẻ đó. Điều này có lợi khi chủ sở hữu hoặc người quản trị muốn những nhóm người dùng khác nhau có những quyền truy cập khác nhau trên một thư mục được chia sẻ. Ngầm định, người dùng thuộc nhóm Administrators và Server Operators có thể thay đổi những quyền trên một chia sẻ.
Những quyền hạn trên những thư mục chia sẻ chỉ có tác dụng khi thư mục đó được truy cập trên mạng (kiểu tài khoản là local account) và những quyền đó áp đặt cho cả những file và thư mục con bên trong. Do vậy, nếu người dùng tham gia một cách cục bộ chỉ những quyền hạn trên file và thư mục có tác dụng (với hệ thống file NTFS) còn những quyền trên thư mục chia sẻ thì không.
Mỗi thao tác của người dùng đối với một đối tượng file hay thư mục đều được hệ điều hành ghi nhận và thể hiện dưới dạng một sự kiện (event), cho dù thao tác thành công hay thất bại. Các thao tác này bao gồm: mở file, đọc nội dung một file, xem tên file, liệt kê danh sách file trong một thư mục, xóa file, xóa thư mục… đều được liệt một cách chi tiết trong trình Event Viewer.
