Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Terminologie der Zugriffssteuerung 63
Der letzte Teil des ACE, mit dem wir uns noch nicht beschäftigt haben, ist die Zugriffsmask.
Die Zugriffsmaske definiert die eigentlichen Berechtigungen oder Überwachungseinstellungen
für das Objekt.
Tabelle 3.3 ACE-Typen
Typ SDDL-Verknüpfung
Beschreibung
ACCESS_ALLOWED_ACE_TYPE A Die in diesem ACE definierten Berechtigungen legen fest, welchen
Zugriff das in der SID angegebene Subjekt auf das Objekt hat.
Diese ACE-Typen werden oft als Zugriff-erlaubt-ACEs (engl.
access allowed ACE) bezeichnet.
ACCESS_DENIED_ACE_TYPE D Dieser ACE verweigert den Zugriff auf das Objekt. Die im ACE
definierten Berechtigungen werden mit dem Zugriffsversuch verglichen.
Falls der Zugriffsversuch irgendeine der hier festgelegten
Berechtigungen enthält, wird er verweigert. Diese ACE-Typen
werden oft als Zugriff-verweigert-ACEs (engl. access denied ACE)
bezeichnet.
SYSTEM_AUDIT_ACE_TYPE AU Dieser ACE gehört zu einer SACL.
ACCESS_ALLOWED_OBJECT_
ACE_TYPE
ACCESS_DENIED_OBJECT_
ACE_TYPE
SYSTEM_AUDIT_OBJECT_
ACE_TYPE
SYSTEM_MANDATORY_LABEL_
ACE_TYPE
OA Dieser ACE-Typ ähnelt dem Typ A, gilt aber für ein Active Directory-Objekt,
nicht für ein Dateisystemobjekt.
OD Dieser ACE-Typ ähnelt dem Typ D, gilt aber für ein Active Directory-Objekt,
nicht für ein Dateisystemobjekt.
OU Dies ist ein Überwachungs-ACE in einer SACL für ein Active Directory-Objekt.
Dieser ACE wird nicht für Zugriffssteuerung oder Überwachung
genutzt, sondern definiert die Integritätsebene des Objekts, für das
der ACE gilt. Weitere Informationen zu Integritätsebenen finden Sie
im Abschnitt »Integritätsebenen« weiter unten in diesem Kapitel.
Zugriffsmasken
Eine Zugriffsmaske (engl. access mask) ist eine 32-Bit-Struktur. Sie ist in drei Hauptabschnitte
untergliedert (Abbildung 3.4).
Abbildung 3.4 Eine Zugriffsmaske definiert die eigentlichen Berechtigungen in einer 32-Bit-Struktur
Jedes Bit in der Zugriffsmaske kann entweder ein oder aus sein (1 oder 0). Wenn ein Bit auf
1 gesetzt ist, wird die entsprechende Berechtigung gewährt. Wenn das Bit auf 0 gesetzt ist,
wird die Berechtigung nicht gewährt. Falls die Zugriffsmaske zu einem Zugriff-erlaubt-ACE
gehört und die Berechtigung nicht explizit gewährt wird, wird sie implizit verweigert.
Die vier obersten Bits in der Zugriffsmaske definieren die sogenannten generischen Berechtigungen
(engl. generic permission). Dies sind im Grunde Auflistungen der Berechtigungen,
die Sie in Betriebssystemen mit einfacheren Zugriffssteuerungsmodellen finden. GR (Generic
Read) steht für eine generische Leseberechtigung. In einem Zugriff-erlaubt-ACE gewährt