IT培訓(xùn)網(wǎng) [url]http://www.itpx.com.cn/[/URL]
廣州北大青鳥(niǎo)(區(qū)莊寶義)BENET系統(tǒng)網(wǎng)絡(luò)工程師培訓(xùn)中心---一流的師資,一流的教學(xué)設(shè)備,一流的教學(xué)系統(tǒng),打造一流的學(xué)員一. 權(quán)限的由來(lái)
遠(yuǎn)方的某個(gè)山腳下，有一片被森林包圍的草原，草原邊上居住著一群以牧羊?yàn)樯哪撩瘛２菰吘壍纳掷?，生存著各種動(dòng)物，包括野狼。
由于羊群是牧民們的主要生活來(lái)源，它們的價(jià)值便顯得特別珍貴，為了防止羊的跑失和野獸的襲擊，每戶牧民都用柵欄把自己的羊群圈了起來(lái)，只留下一道小門，以便每天傍晚供羊群外出到一定范圍的草原上活動(dòng)，實(shí)現(xiàn)了一定規(guī)模的保護(hù)和管理效果。
最初，野狼只知道在森林里逮兔子等野生動(dòng)物生存，沒(méi)有發(fā)現(xiàn)遠(yuǎn)處草原邊上的羊群，因此，在一段時(shí)間里實(shí)現(xiàn)了彼此和平相處，直到有一天，一只為了追逐兔子而湊巧跑到了森林邊緣的狼，用它那靈敏的鼻子嗅到了遠(yuǎn)處那隱隱約約的烤羊肉香味。
當(dāng)晚，突然出現(xiàn)的狼群襲擊了草原上大部分牧民飼養(yǎng)的羊，它們完全無(wú)視牧民們修筑的僅僅能攔住羊群的矮小柵欄，輕輕一躍便突破了這道防線……雖然聞?dòng)嵍鴣?lái)的牧民們合作擊退了狼群，但是羊群已經(jīng)遭到了一定的損失。
事后，牧民們明白了柵欄不是僅僅用來(lái)防止羊群逃脫的城墻，各戶牧民都在忙著加高加固了柵欄……
如今使用Windows 2000/XP等操作系統(tǒng)的用戶，或多或少都會(huì)聽(tīng)說(shuō)過(guò)“權(quán)限”(Privilege)這個(gè)概念，但是真正理解它的家庭用戶，也許并不會(huì)太多，那么，什么是“權(quán)限”呢?對(duì)于一般的用戶而言，我們可以把它理解為系統(tǒng)對(duì)用戶能夠執(zhí)行的功能操作所設(shè)立的額外限制，用于進(jìn)一步約束計(jì)算機(jī)用戶能操作的系統(tǒng)功能和內(nèi)容訪問(wèn)范圍，或者說(shuō)，權(quán)限是指某個(gè)特定的用戶具有特定的系統(tǒng)資源使用權(quán)力。
掌握了“Ring級(jí)別”概念的讀者也許會(huì)問(wèn)，在如今盛行的80386保護(hù)模式中，處理器不是已經(jīng)為指令執(zhí)行做了一個(gè)“運(yùn)行級(jí)別”的限制了嗎?而且我們也知道，面對(duì)用戶操作的Ring 3級(jí)別相對(duì)于系統(tǒng)內(nèi)核運(yùn)行的Ring 0級(jí)別來(lái)說(shuō)，能直接處理的事務(wù)已經(jīng)被大幅度縮減了，為什么還要對(duì)運(yùn)行在“權(quán)限少得可憐”的Ring 3層次上的操作系統(tǒng)人機(jī)交互界面上另外建立起一套用于進(jìn)一步限制用戶操作的“權(quán)限”概念呢?這是因?yàn)?，前者針?duì)的是機(jī)器能執(zhí)行的指令代碼權(quán)限，而后者要針對(duì)的對(duì)象，是坐在計(jì)算機(jī)面前的用戶。
對(duì)計(jì)算機(jī)來(lái)說(shuō)，系統(tǒng)執(zhí)行的代碼可能會(huì)對(duì)它造成危害，因此處理器產(chǎn)生了Ring的概念，把“裸露在外”的一部分用于人機(jī)交互的操作界面限制起來(lái)，避免它一時(shí)頭腦發(fā)熱發(fā)出有害指令;而對(duì)于操作界面部分而言，用戶的每一步操作仍然有可能傷害到它自己和底層系統(tǒng)——盡管它自身已經(jīng)被禁止執(zhí)行許多有害代碼，但是一些不能禁止的功能卻依然在對(duì)這層安全體系作出威脅，例如格式化操作、刪除修改文件等，這些操作在計(jì)算機(jī)看來(lái)，只是“不嚴(yán)重”的磁盤文件處理功能，然而它忽略了一點(diǎn)，操作系統(tǒng)自身就是駐留在磁盤介質(zhì)上的文件!因此，為了保護(hù)自己，操作系統(tǒng)需要在Ring 3籠子限制的操作界面基礎(chǔ)上，再產(chǎn)生一個(gè)專門用來(lái)限制用戶的柵欄，這就是現(xiàn)在我們要討論的權(quán)限，它是為限制用戶而存在的，而且限制對(duì)每個(gè)用戶并不是一樣的，在這個(gè)思想的引導(dǎo)下，有些用戶能操作的范圍相對(duì)大些，有些只能操作屬于自己的文件，有些甚至什么也不能做……(圖.權(quán)限)
正因?yàn)槿绱?，?jì)算機(jī)用戶才有了分類:管理員、普通用戶、受限用戶、來(lái)賓等……
還記得古老的Windows 9x和MS-DOS嗎?它們僅僅擁有基本的Ring權(quán)限保護(hù)(實(shí)模式的DOS甚至連Ring分級(jí)都沒(méi)有)，在這個(gè)系統(tǒng)架構(gòu)里，所有用戶的權(quán)力都是一樣的，任何人都是管理員，系統(tǒng)沒(méi)有為環(huán)境安全提供一點(diǎn)保障——它連實(shí)際有用的登錄界面都沒(méi)有提供，僅僅有個(gè)隨便按ESC都能正常進(jìn)入系統(tǒng)并進(jìn)行任何操作的“偽登錄”限制而已。對(duì)這樣的系統(tǒng)而言，不熟悉電腦的用戶經(jīng)常一不小心就把系統(tǒng)毀掉了，而且病毒木馬自然也不會(huì)放過(guò)如此“松軟”的一塊蛋糕，在如今這個(gè)提倡信息安全的時(shí)代里，Windows 9x成了名副其實(shí)的雞肋系統(tǒng)，最終淡出人們的視線，取而代之的是由Windows NT家族發(fā)展而來(lái)的Windows 2000和Windows XP，此外還有近年來(lái)致力向桌面用戶發(fā)展的Linux系統(tǒng)等，它們才是能夠滿足這個(gè)安全危機(jī)時(shí)代里個(gè)人隱私和數(shù)據(jù)安全等要求的系統(tǒng)。
Win2000/XP系統(tǒng)是微軟Windows NT技術(shù)的產(chǎn)物，是基于服務(wù)器安全環(huán)境思想來(lái)構(gòu)建的純32位系統(tǒng)。NT技術(shù)沒(méi)有辜負(fù)微軟的開(kāi)發(fā)，它穩(wěn)定，安全，提供了比較完善的多用戶環(huán)境，最重要的是，它實(shí)現(xiàn)了系統(tǒng)權(quán)限的指派，從而杜絕了由Win9x時(shí)代帶來(lái)的不安全操作習(xí)慣可能引發(fā)的大部分嚴(yán)重后果。
二. 權(quán)限的指派
1.普通權(quán)限
雖然Win2000/XP等系統(tǒng)提供了“權(quán)限”的功能，但是這樣就又帶來(lái)一個(gè)新問(wèn)題:權(quán)限如何分配才是合理的?如果所有人擁有的權(quán)限都一樣，那么就等于所有人都沒(méi)有權(quán)限的限制，那和使用Win9x有什么區(qū)別?幸好，系統(tǒng)默認(rèn)就為我們?cè)O(shè)置好了“權(quán)限組”(Group)，只需把用戶加進(jìn)相應(yīng)的組即可擁有由這個(gè)組賦予的操作權(quán)限，這種做法就稱為權(quán)限的指派。
默認(rèn)情況下，系統(tǒng)為用戶分了6個(gè)組，并給每個(gè)組賦予不同的操作權(quán)限，依次為:管理員組(Administrators)、高權(quán)限用戶組(Power Users)、普通用戶組(Users)、備份操作組(Backup Operators)、文件復(fù)制組(Replicator)、來(lái)賓用戶組(Guests)，其中備份操作組和文件復(fù)制組為維護(hù)系統(tǒng)而設(shè)置，平時(shí)不會(huì)被使用。(圖.默認(rèn)分組)
系統(tǒng)默認(rèn)的分組是依照一定的管理憑據(jù)指派權(quán)限的，而不是胡亂產(chǎn)生，管理員組擁有大部分的計(jì)算機(jī)操作權(quán)限(并不是全部)，能夠隨意修改刪除所有文件和修改系統(tǒng)設(shè)置。再往下就是高權(quán)限用戶組，這一部分用戶也能做大部分事情，但是不能修改系統(tǒng)設(shè)置，不能運(yùn)行一些涉及系統(tǒng)管理的程序。普通用戶組則被系統(tǒng)拴在了自己的地盤里，不能處理其他用戶的文件和運(yùn)行涉及管理的程序等。來(lái)賓用戶組的文件操作權(quán)限和普通用戶組一樣，但是無(wú)法執(zhí)行更多的程序。(圖.不同賬戶權(quán)限的限制)
這是系統(tǒng)給各個(gè)組指派的權(quán)限說(shuō)明，細(xì)心的用戶也許會(huì)發(fā)現(xiàn)，為什么里面描述的“不能處理其他用戶的文件”這一條規(guī)則并不成立呢，我可以訪問(wèn)所有文件啊，只是不能對(duì)系統(tǒng)設(shè)置作出修改而已，難道是權(quán)限設(shè)定自身存在問(wèn)題?實(shí)際上，NT技術(shù)的一部分功能必須依賴于特有的“NTFS”(NT文件系統(tǒng))分區(qū)才能實(shí)現(xiàn)，文件操作的權(quán)限指派就是最敏感的一部分，而大部分家庭用戶的分區(qū)為FAT32格式，它并不支持NT技術(shù)的安全功能，因此在這樣的文件系統(tǒng)分區(qū)上，連來(lái)賓用戶都能隨意瀏覽修改系統(tǒng)管理員建立的文件(限制寫入操作的共享訪問(wèn)除外)，但這并不代表系統(tǒng)權(quán)限不起作用，我們只要把分區(qū)改為NTFS即可。
2.特殊權(quán)限
除了上面提到的6個(gè)默認(rèn)權(quán)限分組，系統(tǒng)還存在一些特殊權(quán)限成員，這些成員是為了特殊用途而設(shè)置，分別是:SYSTEM(系統(tǒng))、Everyone(所有人)、CREATOR OWNER(創(chuàng)建者)等，這些特殊成員不被任何內(nèi)置用戶組吸納，屬于完全獨(dú)立出來(lái)的賬戶。(圖.特殊權(quán)限成員)
前面我提到管理員分組的權(quán)限時(shí)并沒(méi)有用“全部”來(lái)形容，秘密就在此，不要相信系統(tǒng)描述的“有不受限制的完全訪問(wèn)權(quán)”，它不會(huì)傻到把自己完全交給人類，管理員分組同樣受到一定的限制，只是沒(méi)那么明顯罷了，真正擁有“完全訪問(wèn)權(quán)”的只有一個(gè)成員:SYSTEM。這個(gè)成員是系統(tǒng)產(chǎn)生的，真正擁有整臺(tái)計(jì)算機(jī)管理權(quán)限的賬戶，一般的操作是無(wú)法獲取與它等價(jià)的權(quán)限的。
“所有人”權(quán)限與普通用戶組權(quán)限差不多，它的存在是為了讓用戶能訪問(wèn)被標(biāo)記為“公有”的文件，這也是一些程序正常運(yùn)行需要的訪問(wèn)權(quán)限——任何人都能正常訪問(wèn)被賦予“Everyone”權(quán)限的文件，包括來(lái)賓組成員。
被標(biāo)記為“創(chuàng)建者”權(quán)限的文件只有建立文件的那個(gè)用戶才能訪問(wèn)，做到了一定程度的隱私保護(hù)。
但是，所有的文件訪問(wèn)權(quán)限均可以被管理員組用戶和SYSTEM成員忽略，除非用戶使用了NTFS加密。
無(wú)論是普通權(quán)限還是特殊權(quán)限，它們都可以“疊加”使用，“疊加”就是指多個(gè)權(quán)限共同使用，例如一個(gè)賬戶原本屬于Users組，而后我們把他加入Administrators組，那么現(xiàn)在這個(gè)賬戶便同時(shí)擁有兩個(gè)權(quán)限身份，而不是用管理員權(quán)限去覆蓋原來(lái)身份。權(quán)限疊加并不是沒(méi)有意義的，在一些需要特定身份訪問(wèn)的場(chǎng)合，用戶只有為自己設(shè)置了指定的身份才能訪問(wèn)，這個(gè)時(shí)候“疊加”的使用就能減輕一部分勞動(dòng)量了。
