在這篇文章中，我們將一起探究Windows 2003 Server增強的安全機制。新的操作系統(tǒng)中提高安全性的新特性隨處可見，但這里我們只注重大多數(shù)Windows用戶和管理員最關心的地方，借此粗略感受一下Windows Server 2003新的安全機制。

一、NTFS和共享權限

在以前的Windows中，默認的權限許可將“完全控制”授予了Everyone組，整個文件系統(tǒng)根本沒有安全性可言（就本地訪問來說）。但從Windows XP Pro開始，這種情況改變了。

授予Everyone組的根目錄NTFS權限只有讀取和執(zhí)行，且這些權限只對根文件夾有效。也就是說，對于任何根目錄下創(chuàng)建的子文件夾，Everyone組都不能繼承這些權限。對于安全性要求更高的系統(tǒng)文件夾，例如Program Files和Windows文件夾，Everyone組也已經(jīng)從ACL中排除出去。（說明：ACL即“訪問控制列表”，或Access Control List，它是一種安全保護列表，適用于整個對象、對象屬性組或某個對象個別屬性。Windows Server 2003有兩種訪問控制列表類型：隨機和系統(tǒng)）。

Users組除了讀取和運行之外，還能夠在子文件夾下創(chuàng)建文件夾（可繼承）和文件（注意，根驅(qū)動器除外）。授予System帳戶的權限和本地Administrators組成員的權限仍未改變，它們?nèi)該碛袑Ω募A及其子文件夾的完全控制權限。CREATOR OWNER仍被授予子文件夾及其包含的文件的完全控制權限，也就是允許用戶全面管理他們自己創(chuàng)建的子文件夾。

對于新創(chuàng)建的共享資源，Everyone現(xiàn)在只有讀取的權限。

另外，Everyone組現(xiàn)在不再包含匿名SID（安全標識符，一種不同長度的數(shù)據(jù)結構，用來識別用戶、組和計算機帳戶。網(wǎng)絡上每一個初次創(chuàng)建的帳戶都會收到一個唯一的 SID。Windows中的內(nèi)部進程將引用帳戶的SID而不是帳戶的用戶名或組名），進一步減少了未經(jīng)授權訪問文件系統(tǒng)的可能性。要快速查看文件或文件夾的NTFS權限，可以用右鍵點擊文件或文件夾，選擇“安全”選項卡，點擊“高級”，然后查看“有效權限”頁，不用再猜測或進行復雜的分析來了解繼承的以及直接授予的NTFS權限。不過，這個功能還不能涵蓋共享權限。

二、文件和文件夾的所有權

現(xiàn)在，你不僅可以擁有文件系統(tǒng)對象（文件或文件夾）的所有者權限，而且還可以通過該文件或文件夾“高級安全設置”對話框的“所有者”選項卡將權限授予任何人。

Windows的磁盤配額是根據(jù)所有者屬性計算的，授予其他人所有者權限的功能簡化了磁盤配額的管理。例如，管理員應用戶的要求創(chuàng)建了新的文件（例如復制一些文件，或安裝新的軟件），使得管理員成為新文件的所有者，即新文件占用的磁盤空間不計入用戶的磁盤配額限制。以前，要解決這個問題必須經(jīng)過繁瑣的配置修改，或者必須使用第三方工具。現(xiàn)在Windows Server 2003直接在用戶界面中提供了設置所有者的功能，這類有關磁盤配額的問題可以方便地解決了（對于使用NTFS文件系統(tǒng)的任何類型的操作系統(tǒng)都有效，包括Windows NT 4.0、2000和XP Pro，只要修改是在Windows Server 2003上進行就可以了）。

[本文共有 4 頁，當前是第 1 頁] <<上一頁 下一頁>>