Question

Windows权限

Answer 1

      在Windows中，权限指的是不同账户对文件、文件夹、注册表等的访问能力。在Windows中，为不同的账户设置权限很重要，可以防止重要文件被其他人所使用、修改而造成信息泄露或安全问题。

        NTFS(New Technology File System)是Windows NT操作环境和Windows NT高级服务器网络操作系统环境的文件系统。NTFS取代了文件分配表(FAT)文件系统，为Microsoft的Windows系列操作系统提供文件系统。NTFS对FAT和HPFS(高性能文件系统)做了若干改进，例如，支持元数据，并且使用了高级数据结构，便于改善性能、可靠性和磁盘空间利用率，并提供了若干附加扩展功能，如访问控制列表(ACL)和文件系统日志。

        在NTFS分区上，可以为共享资源、文件夹以及文件设置访问许可权限。许可的设置包括两方面的内容：一是允许哪些组或用户对文件夹、文件和共享资源进行访问；二是获得访问许可的组或用户可以进行什么级别的访问。访问许可权限的设置不但适用于本地计算机用户，同样也应用于通过网络的共享文件夹对文件进行访问的网络用户。与FAT32文件系统下对文件夹或文件进行访问相比，安全性要高得多。另外，在采用NTFS格式的Windows 2000中，应用审核策略可以对文件夹、文件以及活动目录对象进行审核，审核结果记录在安全日志中，通过安全日志就可以查看哪些组或用户对文件夹、文件或活动目录对象进行了什么级别的操作，从而发现系统可能面临的非法访问，通过采取相应的措施，将这种安全降低到最低。这些在FAT32文件系统下，是不能实现的。

        这里讲的Windows文件系统的权限，都是基于磁盘是NTFS格式的前提下。即磁盘必须是NTFS格式的情况下，才可以对其进行权限设置。右击，查看磁盘的文件系统格式，如图 1所示。

该权限允许用户对文件夹、子文件夹、文件进行全权控制，如修改资源的权限、获取资源的所有者、删除资源的权限等，当勾选完全控制权限之后，其他权限会自动勾选。

该权限允许用户修改或删除资源，同时让用户拥有写入及读取和运行权限。

该权限允许用户拥有读取和列出资源目录的权限，另外也允许用户在资源中进行移动和遍历，这使得用户能够直接访问子文件夹与文件，即使用户没有权限访问这个路径。

该权限允许用户査看资源中的子文件夹与文件名称。

该权限允许用户查看该文件夹中的文件及子文件夹，也允许査看该文件夹的属性、所有者和拥有的权限等。

该权限允许用户在该文件夹中创建新的文件和子文件夹，也可以改变文件夹的属性、查看文件夹的所有者和权限等。

该权限是对文件系统权限的进一步高级配置，这里不做讲解。

"拒绝优于允许原则"是一项非常重要且基础性的原则，它可以非常完美地处理好因用户在用户组的归属方面引起的权限“纠纷”，以及更加安全地管理用户权限。

在图2中可以看到，毎个权限后面都有允许和拒绝勾选框，假设一个用户Mike属于user用户组和admin用户组，user用户组对某资源性勾选了写权限允许选项，admin用户组勾选了写权限拒绝选项。那么Mike用户对这个资源是否拥有写权限呢了根据。拒绝优于允许原则。，Mike应该执行拒绝写权限。因此，不拥有写权限。

"保持用户最小的权限"作为一个基本原则执行，这一点是非常有必要的。这条原则可以确保资源得到最大限度的安全保障。这项原则可以尽量让用户不能访问或没必要访问的资源得到有效的权限赋予限制。

权限继承性原则可以让资源的权限设置变得更加简单。假设现在有个。新建文件夹目录，在这个目录中有新建文件夹A、新建文件夹B、新建文件夹C等子目录，现在需要对新建文件夹目录及其下的子目录均设置Mike用户有写入权限。因为有继承性原则，所以只需对新建文件夹目录设置Mike用户有写入权限，其下的所有子目录将自动继承这个权限的设置。

假设现在Mike用户既属于A用户组，也属于B用户组，它在A用户组的权限是读取，在B用户组中的权限是写入，那么根据累加原则，Mike用户的实际权限将会是读取+写入两种。

Administrators本地组：本地系统管理员权限组。拥有对这台计算机最大的控制权限，可以执行整台计算机的管理任务。内置的系统管理员账号Administrator就是该组的成员，而且无法将它从该组删除。如果这台计算机已加入域，则域的Domain Admins会自动加入到该计算机的Administrators组内。

Backup Operators：备份操作组。该组内的成员，不论他们是否有权访问这台计算机中的文件夹或文件，都可以通过“开始 → 所有程序 → 附件 → 系统工具 → 备份”的途径，备份和还原这些文件夹与文件。

Guests：访客用户组。该组是提供给没有用户的账户，但是需要访问本地计算机内资源的用户使用，该组的成员无法永久地改变其桌面的工作环境。该组最常见的默认成员为访客用户账号Guest。

Network ConfigurationOperators：网络配置操作组。该组内的用户可以在客户端执行一般的网络设置任务，例如更改IP地址，但是不可以安装/删除驱动程序与服务，也不可以执行与网络服务器设置有关的任务，例如DNS服务器、DHCP服务器的设置。

Power Users：高权限用户组。该组内的用户具备比Users组更多的权利，但比Adminstrators组拥有的去权利少一些，例如：

Remote Desktop Users：远程桌面用户组。该组的成员可以通过远程计算机登录，例如，利用终端服务器从远程计算机登录。

Users:普通用户组。该组用户只用户一些基本的权利，例如运行应用程序，但是不能修改操作系统的设置，不能更改其他用户的数据，不能关闭服务器级的计算机。所有添加的本地用户账户则自动属于该组。如果计算机已经加入域，则域的Domain Users会自动被加入到计算机的Users组中。

Everyone：任何一个用户都属于这个组。注意，如果Guest账户被启动时，则给Everyone这个组指派权限时必须小心，因为当一个没有账户的用户连接计算机时，他被允许自动利用Guest账户连接，但是因为Guest也属于Everyone组，所以他具备Everyone组所拥有的权限。

Authenticated Users：任何一个利用有效的用户账户连接的用户都属于这个组。建议在设置权限时，尽量针对Authenticated Users组进行设置，而针对Everyone组进行设置。

Interactive：任何在本地登录的用户都属于这个组。

Network：任何通过网络连接此计算机的用户都属于这个组。

Creator Owner：文件夹、文件或打印文件等资源创建者，就是该资源Creator Owner（创建所有者）。不过，如果创建者是属于Administrators组的成员，则其Creator Owner为Adminstrators组。

Anonymous Logo：任何未利用有效的Windows Server 2003账户连接的用户，都属于这个组。注意，在Windows 2003中，Everyone组内并不包含“Anonymous Logon”组。

IIS_WPG：IIS工作进程组。IIS WorkerProcess Group、IIS_WPG的成员具有适当的NTFS权限和必要的用户权限，可以充当IIS 6中工作进程标识。IWAM_计算机名用户通常属于该用户组。

IUSR_计算机名：通常称做“Web匿名用户”账号或“lntemet访问”账号。其中，计算机名是安装IIS时所使用的Netbios服务器名称。正如我们已经了解的那样，当IIS服务器启用匿名身份验证方式，且该服务器上存在针对特定访问请求类型具备适当NTFS权限的IUSR账号时，系统论自动对其加以应用。该用户通常属于User用户组或是Guest用户组

IWAM_账号：是安装IIS时系统自动建立的一个内置账号，主要用于启动进程之外的应用程序的Internet信息服务。该用户属于IIS_WPG用户组。