Bagaimana Memahami Mereka yang Membingungkan Windows 7 File / Share Permissions

Pernahkah Anda mencoba mencari tahu semua izin di Windows? Ada izin pembagian, izin NTFS, daftar kontrol akses, dan banyak lagi. Beginilah cara mereka bekerja bersama.

Pengenal Keamanan

Sistem Operasi Windows menggunakan SID untuk mewakili semua prinsip keamanan. SID hanya string panjang karakter alfanumerik yang merepresentasikan mesin, pengguna, dan grup. SID ditambahkan ke ACL (Access Control Lists) setiap kali Anda memberikan izin pengguna atau grup ke file atau folder. Di belakang layar SID disimpan dengan cara yang sama semua objek data lainnya, dalam biner. Namun ketika Anda melihat SID di Windows itu akan ditampilkan menggunakan sintaks yang lebih mudah dibaca. Ini tidak sering bahwa Anda akan melihat bentuk SID di Windows, skenario yang paling umum adalah ketika Anda memberikan seseorang izin ke sumber daya, kemudian akun pengguna mereka dihapus, maka akan muncul sebagai SID di ACL. Jadi mari kita lihat format khas di mana Anda akan melihat SID di Windows.

Notasi yang akan Anda lihat menggunakan sintaks tertentu, di bawah ini adalah bagian-bagian berbeda dari SID dalam notasi ini.

1. Sebuah awalan 'S'
2. Nomor revisi struktur
3. Nilai otoritas pengidentifikasi 48-bit
4. Sejumlah variabel nilai sub-otoritas atau pengenal relatif (RID) 32-bit

Dengan menggunakan SID saya pada gambar di bawah ini, kami akan memecah bagian yang berbeda untuk mendapatkan pemahaman yang lebih baik.

Struktur SID:

'S' - Komponen pertama dari SID selalu 'S'. Ini diawali untuk semua SID dan ada untuk menginformasikan kepada Windows bahwa yang berikut adalah SID.
'1' - Komponen kedua dari SID adalah nomor revisi spesifikasi SID, jika spesifikasi SID adalah untuk mengubahnya maka akan menyediakan kompatibilitas mundur. Pada Windows 7 dan Server 2008 R2 spesifikasi SID masih dalam revisi pertama.
'5' - Bagian ketiga dari SID disebut Otoritas Identifier. Ini mendefinisikan dalam ruang lingkup apa SID dihasilkan. Nilai yang mungkin untuk bagian ini dari SID dapat berupa:

1. 0 - Otoritas Tidak Penuh
2. 1 - Otoritas Dunia
3. 2 - Otoritas Lokal
4. 3 - Otoritas Pembuat Konten
5. 4 - Otoritas Yang Tidak Unik
6. 5 - Otoritas NT

'21' - Komponen keempat adalah sub-otoritas 1, nilai '21' digunakan di bidang keempat untuk menentukan bahwa sub-otoritas yang mengikuti mengidentifikasi Mesin Lokal atau Domain.
'1206375286-251249764-2214032401' - Ini disebut sub-otoritas 2,3 dan 4 masing-masing. Dalam contoh kami ini digunakan untuk mengidentifikasi mesin lokal, tetapi juga bisa menjadi pengidentifikasi untuk Domain.
'1000' - Sub-otoritas 5 adalah komponen terakhir dalam SID kami dan disebut RID (Relative Identifier), RID relatif terhadap setiap prinsip keamanan, harap dicatat bahwa setiap objek yang ditentukan pengguna, orang-orang yang tidak dikirim oleh Microsoft akan memiliki RID 1000 atau lebih besar.

Prinsip Keamanan

Prinsip keamanan adalah segala sesuatu yang memiliki SID yang melekat padanya, ini dapat berupa pengguna, komputer dan bahkan kelompok. Prinsip keamanan dapat bersifat lokal atau berada dalam konteks domain. Anda mengelola prinsip keamanan lokal melalui snap-in Pengguna Lokal dan Grup, di bawah manajemen komputer. Untuk sampai di sana klik kanan pada shortcut komputer di start menu dan pilih manage.

Untuk menambahkan prinsip keamanan pengguna baru Anda dapat pergi ke folder pengguna dan klik kanan dan pilih pengguna baru.

Jika Anda mengklik dua kali pada pengguna, Anda dapat menambahkannya ke Grup Keamanan pada tab Anggota.

Untuk membuat grup keamanan baru, arahkan ke folder Grup di sisi kanan. Klik kanan pada ruang putih dan pilih grup baru.

Izin Berbagi dan Izin NTFS

Di Windows ada dua jenis izin file dan folder, pertama-tama ada Izin Berbagi dan kedua ada Izin NTFS juga disebut Izin Keamanan. Perhatikan bahwa ketika Anda berbagi folder secara default, grup "Semua Orang" diberikan izin baca. Keamanan pada folder biasanya dilakukan dengan kombinasi Izin Share dan NTFS jika ini adalah kasus penting untuk diingat bahwa yang paling ketat selalu berlaku, misalnya jika izin pembagian diatur ke Semua Orang = Dibaca (yang merupakan default), tetapi Izin NTFS memungkinkan pengguna untuk membuat perubahan ke file, Izin Berbagi akan mengambil preferensi dan pengguna tidak akan diizinkan untuk melakukan perubahan. Ketika Anda mengatur izin, LSASS (Local Security Authority) mengontrol akses ke sumber daya. Ketika Anda logon Anda diberi token akses dengan SID Anda di atasnya, ketika Anda pergi untuk mengakses sumber daya LSASS membandingkan SID yang Anda tambahkan ke ACL (Daftar Kontrol Akses) dan jika SID ada di ACL itu menentukan apakah akan memperbolehkan atau menolak akses. Tidak peduli izin apa yang Anda gunakan, ada perbedaan jadi mari kita lihat untuk mendapatkan pemahaman yang lebih baik tentang kapan kita harus menggunakan apa.

Bagikan Izin:

1. Hanya berlaku untuk pengguna yang mengakses sumber daya melalui jaringan. Mereka tidak berlaku jika Anda logon secara lokal, misalnya melalui layanan terminal.
2. Ini berlaku untuk semua file dan folder di sumber yang dipakai bersama. Jika Anda ingin memberikan skema pembatasan yang lebih terperinci, Anda harus menggunakan Izin NTFS sebagai tambahan untuk izin bersama
3. Jika Anda memiliki volume berformat FAT atau FAT32, ini akan menjadi satu-satunya bentuk pembatasan yang tersedia bagi Anda, karena NTFS Permissions tidak tersedia pada sistem file tersebut.

Izin NTFS:

1. Satu-satunya pembatasan pada Izin NTFS adalah bahwa mereka hanya dapat diatur pada volume yang diformat ke sistem file NTFS
2. Ingat bahwa NTFS bersifat kumulatif yang berarti bahwa izin efektif pengguna adalah hasil dari menggabungkan izin yang ditetapkan pengguna dan izin dari setiap grup milik pengguna.

Izin Bagikan Baru

Windows 7 membeli bersama teknik berbagi "mudah" baru.Opsi berubah dari Baca, Ubah, dan Kontrol Penuh menjadi. Baca dan Baca / Tulis. Idenya adalah bagian dari mentalitas grup Home dan membuatnya mudah berbagi folder untuk orang yang tidak melek komputer. Ini dilakukan melalui menu konteks dan dibagikan dengan grup rumah Anda dengan mudah.

Jika Anda ingin berbagi dengan seseorang yang tidak berada di grup asal Anda selalu dapat memilih opsi "Orang-orang tertentu ...". Yang akan memunculkan dialog yang lebih "rumit". Di mana Anda dapat menentukan pengguna atau grup tertentu.

Hanya ada dua izin seperti yang disebutkan sebelumnya, bersama-sama mereka menawarkan skema perlindungan semua atau tidak sama untuk folder dan file Anda.

1. Baca baca izin adalah opsi "lihat, jangan sentuh". Penerima dapat membuka, tetapi tidak mengubah atau menghapus file.
2. Baca tulis adalah opsi "lakukan apa saja". Penerima dapat membuka, memodifikasi, atau menghapus file.

The Old School Way

Dialog berbagi lama memiliki lebih banyak opsi dan memberi kami opsi untuk berbagi folder dengan alias yang berbeda, itu memungkinkan kami membatasi jumlah koneksi simultan serta mengkonfigurasi caching. Tak satu pun dari fungsi ini hilang di Windows 7 melainkan disembunyikan di bawah opsi yang disebut "Berbagi Tingkat Lanjut". Jika Anda mengklik kanan pada folder dan pergi ke propertinya Anda dapat menemukan pengaturan "Berbagi Lanjutan" ini di bawah tab berbagi.

Jika Anda mengklik tombol “Berbagi Lanjutan”, yang memerlukan kredensial administrator lokal, Anda dapat mengonfigurasi semua pengaturan yang Anda kenal di versi Windows sebelumnya.

Jika Anda mengklik tombol izin, Anda akan disajikan dengan 3 pengaturan yang kita semua kenal.

1. Baca baca izin memungkinkan Anda untuk melihat dan membuka file dan subdirektori serta mengeksekusi aplikasi. Namun tidak memungkinkan perubahan apa pun dilakukan.
2. Memodifikasi izin memungkinkan Anda melakukan apa pun itu Baca baca izin memungkinkan, itu juga menambahkan kemampuan untuk menambahkan file dan subdirektori, menghapus subfolder dan mengubah data dalam file.
3. Kontrol penuh adalah "melakukan apa saja" dari izin klasik, karena memungkinkan Anda untuk melakukan dan semua izin sebelumnya. Selain itu memberi Anda Izin NTFS yang berubah mutakhir, ini hanya berlaku pada Folder NTFS

Izin NTFS

Izin NTFS memungkinkan kontrol yang sangat terperinci atas file dan folder Anda. Dengan demikian, jumlah perincian bisa menakutkan bagi pendatang baru. Anda juga dapat mengatur izin NTFS pada basis per file serta basis per folder. Untuk mengatur Izin NTFS pada file Anda harus klik kanan dan pergi ke properti file di mana Anda harus pergi ke tab keamanan.

Untuk mengedit Izin NTFS untuk Pengguna atau Grup klik pada tombol edit.

Seperti yang Anda lihat ada cukup banyak Izin NTFS jadi mari kita hancurkan mereka. Pertama kita akan melihat Izin NTFS yang dapat Anda atur pada file.

1. Kontrol penuh memungkinkan Anda untuk membaca, menulis, memodifikasi, menjalankan, mengubah atribut, izin, dan mengambil kepemilikan file.
2. Memodifikasi memungkinkan Anda untuk membaca, menulis, memodifikasi, menjalankan, dan mengubah atribut file.
3. Baca & Jalankan akan memungkinkan Anda untuk menampilkan data file, atribut, pemilik, dan izin, dan menjalankan file jika programnya.
4. Baca baca akan memungkinkan Anda membuka file, melihat atribut, pemilik, dan izinnya.
5. Menulis akan memungkinkan Anda untuk menulis data ke file, menambahkan ke file, dan membaca atau mengubah atributnya.

Izin NTFS untuk folder memiliki opsi yang sedikit berbeda jadi mari kita lihat mereka.

1. Kontrol penuh memungkinkan Anda membaca, menulis, memodifikasi, dan mengeksekusi file dalam folder, mengubah atribut, izin, dan mengambil kepemilikan folder atau file di dalamnya.
2. Memodifikasi memungkinkan Anda membaca, menulis, memodifikasi, dan mengeksekusi file dalam folder, dan mengubah atribut folder atau file di dalamnya.
3. Baca & Jalankan akan memungkinkan Anda untuk menampilkan isi folder dan menampilkan data, atribut, pemilik, dan izin untuk file di dalam folder, dan menjalankan file di dalam folder.
4. Daftar Isi Folder akan memungkinkan Anda untuk menampilkan isi folder dan menampilkan data, atribut, pemilik, dan izin untuk file di dalam folder.
5. Baca baca akan memungkinkan Anda untuk menampilkan data file, atribut, pemilik, dan izin.
6. Menulis akan memungkinkan Anda untuk menulis data ke file, menambahkan ke file, dan membaca atau mengubah atributnya.

Dokumentasi Microsoft juga menyatakan bahwa "Daftar Isi Folder" akan membiarkan Anda mengeksekusi file di dalam folder, tetapi Anda masih harus mengaktifkan "Baca & Eksekusi" untuk melakukannya. Ini adalah izin yang sangat membingungkan.

Ringkasan

Singkatnya, nama pengguna dan grup adalah representasi dari string alfanumerik yang disebut SID (Pengenal Keamanan), Berbagi, dan Izin NTFS terkait dengan SID ini. Izin Berbagi diperiksa oleh LSSAS hanya ketika diakses melalui jaringan, sedangkan Izin NTFS hanya valid pada mesin lokal. Saya harap Anda semua memiliki pemahaman yang baik tentang bagaimana keamanan file dan folder di Windows 7 diimplementasikan. Jika Anda memiliki pertanyaan jangan ragu untuk berbunyi di komentar.