Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

84 Kapitel 3: Objekte: Was Sie wollen
Wichtige Änderungen bei der Zugriffssteuerung
in Windows Server 2008
Windows Server 2008 und Windows Vista führen gegenüber älteren Windows-Versionen
einige Änderungen bei der Zugriffssteuerung ein. Einige dieser Änderungen sind recht subtil,
aber zwei sind für viele Administratoren sehr wichtig. Sehen wir uns erst einmal die
subtilen an.
TrustedInstaller-Berechtigungen
Wie Sie bereits gesehen haben, ist der Dienst TrustedInstaller nun Besitzer vieler Objekte in
Windows. Das bedeutet, dass sogar Administratoren auf eine Menge Objekte stoßen, die sie
nicht ändern können, ohne vorher ihre Berechtigungen zu ändern. Als Administrator werden
Sie natürlich niemals völlig ausgesperrt, aber irgendwann kommt es sicherlich vor, dass Sie
versuchen, ein Objekt zu ändern, und Ihnen der Zugriff verweigert wird. Dann sollten Sie
sich fragen, ob Sie dieses Objekt tatsächlich ändern sollten. Diese Einschränkungen sollen
dafür sorgen, die Stabilität zu verbessern.
Netzwerkstandort-SIDs
Wie Sie in den Abbildungen 3.10 und 3.11 gesehen haben, enthalten die Sicherheitstoken
Netzwerkstandort-SIDs. Weil in einer ACL SIDs für INTERAKTIV, NETZWERK und so
weiter enthalten sind, kann ein Administrator den Zugriff auf ein bestimmtes Objekt abhängig
von der Zugriffsmethode steuern. In Windows Server 2008 und Windows Vista wurden
zwei neue Netzwerkstandort-SIDs hinzugefügt: DIALUP und INTERNET. Die SID DIALUP
gilt für Benutzer, die eine DFÜ-Verbindung herstellen, INTERNET für jeden, der sich über
eine Netzwerkverbindung anmeldet, die nicht als der lokale Standort eingestuft wird.
Änderungen beim Dateisystemnamespace
Es fällt gleich auf, dass das Verzeichnis Dokumente und Einstellungen (beziehungsweise
Documents and Settings in der englischen Version), das wir seit Windows 2000 kennen, jetzt
%SystemDrive%\Users heißt, und dass beträchtliche Teile davon in %SystemDrive%\ProgramData
verschoben wurden. Diese Änderung hat Microsoft durchgeführt, um den Dateisystemnamespace
zu vereinfachen. Allerdings verwenden viele alte Anwendungen die vollständigen
Pfade mit den alten Verzeichnisnamen, statt Umgebungsvariablen auszuwerten.
Um zu vermeiden, dass solche Anwendungen lahmgelegt werden, hat Microsoft Abzweigungspunkte
und Symlinks vom alten Namespace in den neuen angelegt. Für die Migration
wurden alle diese Abzweigungspunkte und Symlinks mit einem Verweigern-ACE versehen,
der das Auflisten des Verzeichnisses verbietet. Anders ausgedrückt: Sie können eine Datei
im alten Dokumente und Einstellungen-Verzeichnis angeben, aber Sie können dieses Verzeichnis
nicht in Windows-Explorer öffnen. Falls Sie versuchen, es zu öffnen, bekommen
Sie eine Fehlermeldung, dass der Zugriff verweigert wurde. Viele Leute haben sich darüber
beklagt, seit Windows Vista herauskam. Es sollte darauf hingewiesen werden, warum das
der Fall ist.