Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Terminologie der Zugriffssteuerung 67
Und falls Sie Berechtigungen in Server Core-Installationen verwalten oder die für Verzeichnisse
eingestellten Berechtigungen verstehen wollen, müssen Sie sich fast zwangsläufig mit
diesen Details beschäftigen. Dasselbe gilt, falls Sie die Berechtigungsverwaltung für irgendein
Objekt an einen Benutzer delegieren wollen, der kein vollgültiger Administrator sein
soll.
Die Definitionen in den Tabellen sind in einem bestimmten Format aufgelistet. Dieses Format
wird von Entwicklern verwendet, es ist im Software Development Kit (SDK) definiert.
Statt neue Definitionen zu erfinden, ist es sinnvoll, diese vorhandenen Bezeichnungen zu
verwenden, wenn im Rest dieses Kapitels und des Buchs auf Berechtigungen verwiesen
wird.
Sie können die Berechtigungen natürlich auch in der grafischen Benutzeroberfläche des
ACL-Editors (kurz ACL-UI für Access Control List User Interface) betrachten. Dort finden
Sie intuitiv aufbereitete Darstellungen dieser Daten. Das ist aber eine sehr ineffiziente Methode,
und sie hilft Ihnen nicht, wenn Sie zum Beispiel Sicherheitsvorlagen oder bei einer
Problembehandlung die im SDDL-Format aufgelisteten Berechtigungen interpretieren müssen.
In diesen Fällen müssen Sie wissen, wie diese Berechtigungen aufgebaut sind. Zum
Beispiel könnten Sie auf die Berechtigung 0x1200a9 stoßen. Wie Sie sich inzwischen wohl
denken können, steht dieser Wert für eine Kombination aus den Bits in den vorherigen
Tabellen. 0x1200a9 ist binär 100100000000010101001. Wenn wir dieses Muster in Abbildung
3.4 eintragen, erhalten wir so etwas wie Abbildung 3.5.
Abbildung 3.5 demonstriert, wie wir gewährte Berechtigungen wie zum Beispiel 0x1200a9
analysieren müssen. Der Wert verrät, welche Bits in der Zugriffsmaske gesetzt sind. Um
herauszufinden, was das bedeutet, müssen wir den hexadezimalen Wert (Basis 16) in einen
Binärwert konvertieren. Dafür können Sie den Windows-Rechner verwenden, wenn sie ihn
in den wissenschaftlichen Modus schalten. Den Binärwert bilden wir auf die Zugriffsmaske
ab, wie in Abbildung 3.5 gezeigt. Die gesetzten Bits geben an, welche Berechtigungen gewährt
wurden.
Abbildung 3.6 0x1200a9 ist einer der ACEs für das Stammverzeichnis eines Laufwerks