👨🏽‍🍳 👁‍🗨 🥀 SMB और NTFS अनुमतियाँ। डीब्रीफिंग 👨🏼‍💼 🦇 🐷

क्यों ज्यादातर मामलों में एक संगठन को एक सर्वर की आवश्यकता होती है? सक्रिय निर्देशिका, आरडीएस, एक प्रिंट सर्वर और छोटी और बड़ी सेवाओं का एक समूह। शायद सभी के लिए सबसे अधिक ध्यान देने योग्य भूमिका फ़ाइल सर्वर है। अन्य भूमिकाओं के विपरीत, लोग उसके साथ सबसे सचेत रूप से काम करते हैं। वे याद करते हैं कि किस फ़ोल्डर में क्या है, दस्तावेज़ों के स्कैन कहां हैं, उनकी रिपोर्टें कहां हैं, फैक्स कहां हैं, कहां साझा किया गया फ़ोल्डर है जिसमें सब कुछ केवल एक विभाग में, दूसरे से कहां तक पहुँचा जा सकता है, और उन्हें कुछ भी पता नहीं है

मैं सर्वर पर नेटवर्क और स्थानीय फ़ोल्डरों तक पहुंच के बारे में बात करना चाहता हूं।

सर्वर पर साझा संसाधनों तक पहुंच बनाई जाती है, जैसा कि सभी जानते हैं, एसएमबी प्रोटोकॉल द्वारा पहले से ही 3.0। फ़ोल्डरों के लिए नेटवर्क का उपयोग एसएमबी और एनटीएफएस अनुमतियों द्वारा सीमित किया जा सकता है। SMB अनुमतियाँ केवल तब काम करती हैं जब नेटवर्क पर एक साझा फ़ोल्डर तक पहुँच होती है और स्थानीय स्तर पर किसी विशेष फ़ोल्डर की उपलब्धता पर कोई प्रभाव नहीं पड़ता है। NTFS अनुमतियाँ नेटवर्क और स्थानीय दोनों पर काम करती हैं, जिससे अनुमतियाँ बनाने में अधिक लचीलापन मिलता है। अधिकारों के सबसे बड़े प्रतिबंध के सिद्धांत के अनुसार, एसएमबी और एनटीएफएस अनुमतियां अलग से काम नहीं करती हैं, लेकिन एक-दूसरे की पूरक हैं।

SMB Share Cmdlets समूह में सर्वर 2012 के साथ एक फ़ोल्डर साझा करने के लिए, न्यू-एसएमबीएससी cmdlet दिखाई दिया। एक उदाहरण के रूप में इस cmdlet का उपयोग करते हुए, हम क्लस्टर कॉन्फ़िगरेशन को छोड़कर, साझा फ़ोल्डर बनाते समय उपलब्ध सभी विकल्पों को देखेंगे (यह एक अलग बड़ा विषय है)।

एक नया साझा फ़ोल्डर बनाना बहुत सरल लगता है:

net share homefolder=s:\ivanivanov /grant:"admin",full /grant:"folderowner",change /grant:"manager",read /cache:programs /remark:"Ivanov"

या

 new-smbshare homefolder s:\ivanivanov –cachingmode programs –fullaccess admin –changeaccess folderowner –readaccess manager –noaccess all –folderenumerationmode accessbased -description "Ivanov"

हम समझते हैं:

 -name

नेटवर्क पर साझा किए गए फ़ोल्डर का नाम स्थानीय कंप्यूटर पर फ़ोल्डर के नाम से भिन्न हो सकता है। इसमें 80 वर्णों की सीमा है; आप नाम पाइप और मेलसेलोट का उपयोग नहीं कर सकते।

 -path

साझा करने के लिए स्थानीय फ़ोल्डर का पथ। रास्ता पूरा होना चाहिए, डिस्क की जड़ से।

 -cachingmode

एक साझा फ़ोल्डर में फ़ाइलों की स्वायत्तता स्थापित करना।

स्टैंडअलोन फ़ाइल क्या है?

एक ऑफ़लाइन फ़ाइल एक सर्वर पर स्थित फ़ाइल की एक प्रति है। यह प्रतिलिपि स्थानीय कंप्यूटर पर स्थित है और आपको सर्वर से कनेक्ट किए बिना फ़ाइल के साथ काम करने की अनुमति देती है। कनेक्ट होने पर, परिवर्तन सिंक्रनाइज़ किए जाते हैं। वे दोनों दिशाओं में सिंक्रनाइज़ किए जाते हैं: यदि आपने अपनी ऑफ़लाइन फ़ाइल में परिवर्तन किए हैं, तो अगली बार जब आप कनेक्ट करते हैं, तो सर्वर पर फ़ाइल बदल जाएगी; यदि किसी ने सर्वर पर परिवर्तन किए हैं, तो आपकी स्थानीय प्रति बदल दी जाएगी। यदि एक ही बार में दोनों फ़ाइलों में परिवर्तन हुआ है, तो हमें एक सिंक्रनाइज़ेशन त्रुटि मिलती है और आपको चुनना होगा कि कौन सा संस्करण सहेजना है। सहयोग के लिए, मैं इस अवसर का उपयोग नहीं करूंगा, लेकिन अगर प्रत्येक उपयोगकर्ता के लिए हम एक गेंद बनाते हैं और दूसरों के लिए पढ़ने के लिए उपयोग को प्रतिबंधित करते हैं, तो लेखन की संभावना के बिना, हमें निम्नलिखित बन्स मिलते हैं:

कार्य नेटवर्क पर निर्भर नहीं करता है - स्विच बाहर जल सकता है, सर्वर पुनरारंभ हो सकता है, तार टूट सकता है या पहुंच बिंदु बंद हो सकता है - उपयोगकर्ता अपनी कॉपी के साथ काम करता है, यह देखते हुए कि आपके पास किसी तरह का दुर्घटना है, नेटवर्क कनेक्शन को पुनर्स्थापित करते समय, उसका काम सर्वर पर जाता है।
उपयोगकर्ता देश में कहीं भी काम कर सकता है: देश में, बस में, विमान पर - उन जगहों पर जहां किसी कारण से वीपीएन का कनेक्शन उपलब्ध नहीं है।
यदि उपयोगकर्ता वीपीएन के माध्यम से भी काम करता है, लेकिन कनेक्शन या तो बहुत धीमा है या लगातार डिस्कनेक्ट हो रहा है, तो ऑफ़लाइन प्रतिलिपि के साथ काम करना और परिवर्तनों को सिंक्रनाइज़ करना सर्वर पर कुछ करने की कोशिश करना आसान है।
उपयोगकर्ता स्वयं चुन सकता है कि उसे कब और क्या सिंक्रनाइज़ करना है, यदि आप उसे ऐसा अवसर देते हैं।

यह निम्न मान लेता है:

कोई भी - फ़ाइलें ऑफ़लाइन उपलब्ध नहीं हैं, फ़ाइलों तक पहुंच के लिए सर्वर तक पहुंच की आवश्यकता होती है
मैनुअल - उपयोगकर्ता स्वयं ऐसी फाइलें चुनते हैं जो ऑफ़लाइन उपलब्ध होंगी
प्रोग्राम - फ़ोल्डर में सब कुछ ऑफ़लाइन उपलब्ध है (दस्तावेज़ और प्रोग्राम (एक्सटेंशन के साथ फ़ाइलें * .exe, * .dll)।
दस्तावेज़ - दस्तावेज़ उपलब्ध हैं, कोई कार्यक्रम नहीं
ब्रांच कैश - उपयोगकर्ता के स्थानीय कंप्यूटर के बजाय कैशिंग शाखा कैश सर्वर पर होती है, उपयोगकर्ता स्वयं ऑफ़लाइन फ़ाइलों का चयन करते हैं

 -noaccess, -readaccess, -changeaccess, -fullaccess

अनुमतियाँ साझा करें

इन अनुमतियों का एक बड़ा फायदा है - वे बहुत सरल हैं।

-अन्य सचिव, स्टीवर्ड - सचिव और वितरण प्रबंधक को सार्वजनिक लेखा फ़ोल्डर में कुछ नहीं करना है
-Dreadaccess ऑडिटर - अकाउंटिंग के काम की जाँच करने वाला एक ऑडिटर एक साझा फ़ोल्डर में फ़ाइलों और सबफ़ोल्डर्स के नाम, पढ़ने के लिए खुली फ़ाइलें, रन प्रोग्राम देख सकता है।
-संहिता लेखापाल - अपने साझा फ़ोल्डर में एकाउंटेंट फ़ाइलें और सबफ़ोल्डर बना सकते हैं, मौजूदा फ़ाइलों को संशोधित कर सकते हैं, फ़ाइलें और उप-फ़ोल्डर हटा सकते हैं
-एफ़लाकस एडमिन - फुलकस रीडेकस + चेंजेसिअस प्लस है जो परमिशन बदलने की क्षमता रखता है।

साझा फ़ोल्डर बनाते समय, सबसे अधिक प्रतिबंधात्मक नियम स्वचालित रूप से लागू होता है - सभी को पढ़ने का अधिकार दिया जाता है।

ये अनुमतियाँ केवल उन उपयोगकर्ताओं पर लागू होती हैं जो नेटवर्क पर साझा किए गए फ़ोल्डर तक पहुँच प्राप्त करते हैं। जब स्थानीय रूप से लॉग इन करते हैं, उदाहरण के लिए, टर्मिनल सर्वर के मामले में, सचिव और प्रबंधक दोनों ही वे सब कुछ देखेंगे जो वे लेखा विभाग में चाहते हैं। यह NTFS अनुमतियों द्वारा तय किया गया है। SMB अनुमतियाँ साझा संसाधन पर सभी फ़ाइलों और फ़ोल्डरों पर लागू होती हैं। NTFS- अनुमतियों द्वारा एक्सेस अधिकारों की अधिक बारीक ट्यूनिंग भी की जाती है।

 -concurrentuserlimit

इस पैरामीटर का उपयोग करके आप साझा फ़ोल्डर में कनेक्शन की अधिकतम संख्या को सीमित कर सकते हैं। सिद्धांत रूप में, इसका उपयोग फ़ोल्डर तक पहुंच को सीमित करने के लिए भी किया जा सकता है, NTFS अनुमतियों को पूरक करता है, केवल आपको कनेक्शन की आवश्यक संख्या के बारे में सुनिश्चित करना होगा।

 -description

साझा संसाधन का वर्णन जो नेटवर्क वातावरण में दिखाई देता है। विवरण एक बहुत अच्छी बात है कि कई उपेक्षा।

 -encryptdata

एन्क्रिप्शन

संस्करण 3.0 से पहले एसएमबी में, फ़ाइल सर्वर से क्लाइंट को ट्रैफ़िक की सुरक्षा का एकमात्र तरीका वीपीएन था। इसे कैसे लागू किया जाए यह पूरी तरह से सिस्टम प्रशासक की प्राथमिकताओं पर निर्भर करता है: एसएसएल, पीपीटीपी, आईपीएसईसी सुरंग, या कुछ और। सर्वर 2012 में, एन्क्रिप्शन एक विशेष स्थानीय समाधान की आवश्यकता के बिना, नियमित स्थानीय नेटवर्क पर या अविश्वसनीय नेटवर्क के माध्यम से बॉक्स से बाहर काम करता है। यह पूरे सर्वर और व्यक्तिगत सार्वजनिक फ़ोल्डरों के लिए दोनों को सक्षम किया जा सकता है। SMB 3.0 में एन्क्रिप्शन एल्गोरिथ्म AES-CCM है , HMAC-SHA256 के बजाय हैशिंग एल्गोरिथ्म AES-CMAC है । अच्छी खबर यह है कि एसएमबी 3.0 हार्डवेयर एईएस ( एईएस-एनआई ) का समर्थन करता है, बुरी खबर यह है कि रूस एईएस-एनआई का समर्थन नहीं करता है।

एन्क्रिप्शन को शामिल करने से क्या खतरा है? इस तथ्य से कि केवल ग्राहक एसएमबी 3.0 का समर्थन करते हैं, जो कि विंडोज 8 है, एन्क्रिप्टेड साझा किए गए फ़ोल्डरों के साथ काम कर सकता है, इसका कारण फिर से, उपयोगकर्ता अधिकारों का अधिकतम स्वीकार्य प्रतिबंध है। यह माना जाता है कि व्यवस्थापक जानता है कि वह क्या कर रहा है और यदि आवश्यक हो, तो एसएमबी के एक अलग संस्करण के साथ ग्राहकों को पहुंच प्रदान करता है। लेकिन चूंकि SMB 3.0 नए एन्क्रिप्शन और हैशिंग एल्गोरिदम का उपयोग करता है, इसलिए SMB के किसी भिन्न संस्करण के साथ क्लाइंट ट्रैफ़िक को एन्क्रिप्ट नहीं किया जाएगा, आपको वीपीएन की आवश्यकता है। कमांड सभी क्लाइंट को एन्क्रिप्शन सक्षम के साथ फाइल सर्वर में प्रवेश करने में मदद करेगा।

 set-smbserverconfiguration –rejectunencryptedaccess $false

डिफ़ॉल्ट कॉन्फ़िगरेशन में (एन्क्रिप्टेड सार्वजनिक फ़ोल्डरों के लिए अनएन्क्रिप्टेड ट्रैफ़िक निषिद्ध है), जब हम क्लाइंट फोल्डर को 3.0 पर नीचे एसएमबी संस्करण के साथ एक्सेस करने का प्रयास करते हैं, तो हमें "एक्सेस एरर" मिलेगा। इवेंट 1003 को सर्वर पर Microsoft-Windows-SmbServer / ऑपरेशनल लॉग में जोड़ा जाएगा, जिसमें एक्सेस करने की कोशिश करने वाले क्लाइंट का आईपी एड्रेस ढूंढना संभव होगा।

SMB और EFS एन्क्रिप्शन दो अलग-अलग चीजें हैं जिनका एक-दूसरे से कोई लेना-देना नहीं है, यानी इसे FAT और ReFS वॉल्यूम पर इस्तेमाल किया जा सकता है।

 -folderenumerationmode

यह प्रवेश-आधारित अभिगम है। प्रवेश-आधारित गणना सक्षम होने के साथ, जिन उपयोगकर्ताओं के पास साझा फ़ोल्डर तक पहुंच नहीं है, वे इसे केवल फ़ाइल सर्वर पर नहीं देख पाएंगे और इस या उस फ़ोल्डर में मेरी पहुंच नहीं होने के कारण कम प्रश्न होंगे। उपयोगकर्ता अपने सुलभ फ़ोल्डरों को देखता है और अन्य लोगों के मामलों में जाने की कोशिश नहीं करता है। डिफ़ॉल्ट बंद है।

पहुँच - सक्षम
अप्रतिबंधित - बंद करें

 -temporary

यह कुंजी एक अस्थायी साझा फ़ोल्डर बनाता है, जिसकी एक्सेस सर्वर रिबूट के बाद समाप्त हो जाएगी। स्थायी रूप से साझा किए गए फ़ोल्डर डिफ़ॉल्ट रूप से बनाए जाते हैं।

NTFS की अनुमति

NTFS अनुमतियों की मदद से, हम एक फ़ोल्डर में अधिकारों को अधिक विस्तार से अलग कर सकते हैं। हम एक निश्चित समूह को एक विशिष्ट फ़ाइल को बदलने से रोक सकते हैं, जिससे सब कुछ बुनियादी संपादित करना संभव हो जाता है; एक ही फ़ोल्डर में एक उपयोगकर्ता समूह के पास एक फ़ाइल को बदलने का अधिकार हो सकता है और दूसरे उपयोगकर्ता समूह द्वारा संपादित अन्य फ़ाइलों को देखने में सक्षम नहीं होगा और इसके विपरीत। संक्षेप में, NTFS अनुमतियां हमें एक बहुत ही लचीली पहुंच प्रणाली बनाने की अनुमति देती हैं, मुख्य बात यह है कि बाद में भ्रमित न हों। इसके अलावा, NTFS अनुमतियाँ नेटवर्क पर एक फ़ोल्डर तक पहुँचने, साझा अनुमतियों के पूरक, और स्थानीय रूप से फ़ाइलों और फ़ोल्डरों तक पहुँचने पर दोनों काम करती हैं।

छह बुनियादी अनुमतियां हैं, जो 14 उन्नत अनुमतियों का एक संयोजन हैं।

मूल अनुमतियाँ

पूर्ण पहुँच (फुलकंट्रोल) - किसी फ़ोल्डर या फ़ाइल तक पूर्ण पहुँच, पहुँच अधिकार और फ़ोल्डर और फ़ाइलों के ऑडिट नियमों को बदलने की क्षमता के साथ

संशोधित करें - किसी फ़ोल्डर की सामग्री को पढ़ने, संशोधित करने, फ़ोल्डर / फ़ाइलों को हटाने और निष्पादन योग्य फ़ाइलों को चलाने का अधिकार। इसमें रीड एंड एक्सक्यूट (रीडेंडेक्सक्यूट), राइट (लिखना) और डिलीट (डिलीट) शामिल हैं।

पढ़ना और निष्पादन (रीडेंडेक्सक्यूट) - लेखन की संभावना के बिना, पढ़ने के लिए फ़ोल्डर्स और फ़ाइलों को खोलने का अधिकार। निष्पादन योग्य फ़ाइलों को चलाना भी संभव है।

किसी फ़ोल्डर की सूची सामग्री (सूची निर्देशिका) - एक फ़ोल्डर की सामग्री को देखने का अधिकार

पढ़ें - लिखने की संभावना के बिना, पढ़ने के लिए फ़ोल्डर्स और फ़ाइलों को खोलने का अधिकार। इसमें फ़ोल्डर सामग्री / रीड डेटा (रीडडाटा), रीड एट्रीब्यूट्स (रीडअट्रीब्यूट्स), एडिशनल एट्रीब्यूट्स (रीडेक्स्टेडेडडेजटेबल्स), और रीड परमेशंस (रीडपर्मिशन) पढ़ें

लिखना (लिखना) - फ़ोल्डरों और फ़ाइलों को बनाने का अधिकार, फाइलों को संशोधित करना। फ़ाइल निर्माण / डेटा लेखन (लेखन), फ़ोल्डर निर्माण / डेटा रिकॉर्डिंग (परिशिष्ट), लेखन विशेषताएँ (लेखन सामग्री) और लेखन अतिरिक्त विशेषताएँ (लेखन-पाठ)

अतिरिक्त अनुमति

मैंने फ़ोल्डर में केवल 14 अनुमतियों को रखा और देखा कि क्या होता है। वास्तविक दुनिया में, ज्यादातर मामलों में, बुनियादी अनुमतियाँ पर्याप्त हैं, लेकिन मुझे सबसे अधिक प्रतिबंधित अधिकारों के साथ फ़ोल्डर्स और फ़ाइलों के व्यवहार में दिलचस्पी थी।

फ़ोल्डर ट्रैवर्स / फ़ाइल निष्पादन (ट्रैवर्स) - फ़ाइलों को चलाने और पढ़ने का अधिकार, फ़ोल्डर की अनुमति की परवाह किए बिना। उपयोगकर्ता को फ़ोल्डर तक पहुंच नहीं होगी (फ़ोल्डर में क्या है यह एक रहस्य बना रहेगा) लेकिन फ़ोल्डर में फाइलें एक सीधा लिंक (पूर्ण, रिश्तेदार या यूएनसी पथ) के माध्यम से सुलभ होंगी। आप फ़ोल्डर को Traverse फ़ोल्डर पर रख सकते हैं, और फ़ाइल पर कोई अन्य अनुमतियाँ जो उपयोगकर्ता को काम करने की आवश्यकता होती है। उपयोगकर्ता फ़ोल्डर में फ़ाइलों को बना और हटा नहीं सकता है।

फ़ोल्डर सामग्री / डेटा पढ़ें (रीडडाटा) - परिवर्तन की संभावना के बिना फ़ोल्डर की सामग्री को देखने का अधिकार। आप उस फ़ोल्डर को नहीं खोल सकते और खोल सकते हैं जिसे आप देख रहे हैं

विशेषताएँ पढ़ें (readattributes) - किसी फ़ोल्डर या फ़ाइल की विशेषताएँ ( FileAttributes ) देखने का अधिकार।
आप किसी फ़ोल्डर या फ़ाइलों की सामग्री को नहीं देख सकते हैं या किसी भी विशेषता को नहीं बदल सकते हैं।

अतिरिक्त विशेषताएँ पढ़ना (readextendedattributes) - किसी फ़ोल्डर या फ़ाइल की अतिरिक्त विशेषताओं को देखने का अधिकार।

अतिरिक्त विशेषताओं द्वारा मुझे केवल एक चीज मिल सकती थी कि वे ओएस / 2 अनुप्रयोगों के साथ पिछड़े संगतता प्रदान करने के लिए उपयोग किए जाते हैं। ( विंडोज इंटर्नल, भाग 2: विंडोज सर्वर 2008 R2 और विंडोज 7 को कवर करना )। मैं उनके बारे में ज्यादा कुछ नहीं जानता।

फ़ाइलें / डेटा लिखना (लेखन) - उपयोगकर्ता को उस फ़ोल्डर में फ़ाइलों को बनाने की क्षमता देता है, जिसमें उसकी पहुंच नहीं है। आप फ़ाइलों को एक फ़ोल्डर में कॉपी कर सकते हैं और एक फ़ोल्डर में नई फाइलें बना सकते हैं। आप किसी फ़ोल्डर की सामग्री नहीं देख सकते हैं, नए फ़ोल्डर बना सकते हैं या मौजूदा फ़ाइलों को संशोधित कर सकते हैं। उपयोगकर्ता किसी भी फ़ाइल को संशोधित करने में सक्षम नहीं होगा, भले ही वह इस फ़ाइल का मालिक हो - केवल बनाएँ।

फ़ोल्डर / परिशिष्ट बनाएँ - उपयोगकर्ता को फ़ोल्डर में सबफ़ोल्डर बनाने और मौजूदा सामग्री को बदले बिना फ़ाइल के अंत में डेटा जोड़ने की अनुमति देता है।

निरीक्षण

सबफ़ोल्डर्स के निर्माण के साथ, सब कुछ स्पष्ट है:

 ni c:\testperms\testappend –itemtype directory

यह अपेक्षित के रूप में काम करेगा - यह उपयोगकर्ता फ़ोल्डर के अंडकोष को देखने के लिए दुर्गम में एक टेस्टैपेंड सबफ़ोल्डर बनाएगा। आइए फ़ाइल के अंत में एक पंक्ति जोड़ने का प्रयास करें - हम किसी प्रकार के लॉग के रखरखाव का अनुकरण करते हैं।

 newevent >> c:\testperms\user.log   .

हम्म ... यह सीएमडी में काम नहीं करता है। और अगर ऐसा है।

 ac c:\testperms\user.log newevent ac :      "C:\testperms\user.log".

और कन्वेयर पर?

 "newevent" | out-file c:\testperms\user.log -append out-file :      "C:\testperms\user.log".

और यह उस तरह से काम नहीं करेगा।

हम काले जादू का एक सत्र शुरू करते हैं: हम फ़ाइल वर्ग, परिशिष्ट विधि का उपयोग करते हैं। लॉग ऑब्जेक्ट प्राप्त करें।

 $log = [io.file]::appendtext("c:\testperms\user.log")    "AppendText"  "1" : "     "c:\testperms\user.log"."

मुझे लगता है कि AppendAllText अब कोशिश करने लायक नहीं है

 $log = [io.file]::appendalltext("c:\testperms\user.log","newevent")    "AppendAllText"  "2" : "     "c:\testperms\user.log"."

सिद्धांत रूप में, मामला स्पष्ट है। केवल डेटा को फ़ाइल में जोड़ने के अधिकार उपरोक्त विधियों के लिए पर्याप्त नहीं हैं, उन्हें फ़ाइल में लिखने की आवश्यकता है। लेकिन इसके साथ, हम फ़ाइल को संशोधित करने का अवसर देंगे, और न केवल प्रविष्टियों को जोड़ेंगे, अर्थात, फ़ाइल की संपूर्ण सामग्री को नष्ट करने की क्षमता खोलें।

हमें अवधारणा को संशोधित करने की आवश्यकता है: चलो लॉग ऑब्जेक्ट नहीं मिलता है, लेकिन एक नया बनाएं जिसमें हम उन सभी मापदंडों को सेट करेंगे जो हमारे लिए रुचि रखते हैं। हमें कुछ ऐसा चाहिए जहां हम स्पष्ट रूप से पहुंच अधिकारों को निर्दिष्ट कर सकें। हमें एक फाइलस्ट्रीम की जरूरत है, और अधिक विशेष रूप से, फाइलस्ट्रीम कंस्ट्रक्टर (स्ट्रिंग, फाइलमोड, फाइलसिस्टमराइट्स, फाइलशेयर, इन्ट्यू 32, फाइलऑइस) हमारी मदद करेंगे। निम्नलिखित मापदंडों की आवश्यकता है:

फ़ाइल का पथ समझ में आता है
फ़ाइल कैसे खोलें - एक फ़ाइल खोलें और फ़ाइल का अंत ढूंढें
फ़ाइल अनुमतियाँ - डेटा जोड़ें
अन्य FileStream ऑब्जेक्ट्स तक पहुँच - आवश्यकता नहीं है
बफ़र आकार - डिफ़ॉल्ट 8 बाइट्स
अतिरिक्त विकल्प - नहीं

यह कुछ इस तरह से निकलता है:

 $log = new-object io.filestream("c:\testperms\user.log",[io.filemode]::append,[security.accesscontrol.filesystemrights]::appenddata,[io.fileshare]::none,8,[io.fileoptions]::none)

यह काम करता है! हमने लॉग ऑब्जेक्ट बनाया है , वहां कुछ लिखने की कोशिश करें। FileStream.Write विधि बाइट्स में आने वाले मूल्यों को स्वीकार करता है। हम उस घटना से आगे निकल जाते हैं जिसे हम बाइट्स में लिखना चाहते हैं - एन्कोडिंग वर्ग , गेटइन कोडिंग विधि (हमें आउटपुट पर क्रैकोजीब्रा की जरूरत नहीं है) और गेटबाइट्स (वास्तव में, रूपांतरण)

 $event = "  ." $eventbytes = [text.encoding]::getencoding("windows-1251").getbytes($event)

पैरामीटर FileStream.Write:
क्या लिखना है; लिखना शुरू करने के लिए कहाँ; लिखे जाने के लिए बाइट्स की संख्या
हम लिखते हैं:

 $log.write($eventbytes,0,$eventbytes.count)

हम जांच करते हैं।

 gc c:\testperms\user.log gc :      "C:\testperms\user.log ".

सब कुछ ठीक है, उपयोगकर्ता को यह देखने की अनुमति नहीं है कि क्या लिखा गया है। हम व्यवस्थापक के तहत लॉग इन हैं।

 gc c:\testperms\user.log   .

सब कुछ काम करता है।

वह फ़ोल्डर जिसमें फ़ाइल स्थित है, अनुमति के अलावा फ़ोल्डर / डेटा बैकअप बनाना, फ़ोल्डर या रीडिंग डेटा की अनुमति सामग्री भी दी जानी चाहिए। केवल फ़ोल्डर बनाएँ / इनहेरिट की गई अक्षमता वाले डेटा का बैकअप फ़ाइल के लिए पर्याप्त है। उपयोगकर्ता (और उपयोगकर्ता एक हमलावर हो सकता है) को फाइलों से पूरी तरह से संरक्षित करना संभव नहीं होगा, जिसमें उसे कुछ लिखना होगा, लेकिन दूसरी तरफ, फ़ोल्डर में फ़ाइलों की सूची को छोड़कर, उपयोगकर्ता कुछ भी नहीं देख पाएगा और ऐसा करने में सक्षम नहीं होगा।

इससे निष्कर्ष सरल है: बैच फ़ाइलों में सुरक्षित लॉगिंग को लागू करना संभव नहीं होगा। PowerShell .NET ऑब्जेक्ट्स के साथ काम करने की क्षमता को बचाता है।

लेखन विशेषताएँ (रिटिटिट्यूड) - उपयोगकर्ता को किसी फ़ाइल या फ़ोल्डर की विशेषताओं को बदलने की अनुमति देता है। ऐसा लगता है कि सब कुछ सरल है। लेकिन यहाँ सिर्फ इस सवाल का जवाब देना है: “मेरी बिल्लियों की तस्वीरें मेरे प्रोफ़ाइल में लगभग पूरी जगह घेरती हैं और मेरे पास व्यवसाय पत्राचार के लिए कोई जगह नहीं है। मैं बिल्लियों के साथ फ़ोल्डर को संपीड़ित करना चाहूंगा, लेकिन उन्हें व्यवस्थापक अधिकारों की आवश्यकता है। आपने कहा कि मुझे फ़ोल्डर्स की विशेषताओं को बदलने का अधिकार है। क्या यह एक विशेषता है? मैं इसे क्यों नहीं बदल सकता?

हां, राइट टू राइट विशेषताओं वाला उपयोगकर्ता संपीड़न और एन्क्रिप्शन विशेषताओं को छोड़कर, फ़ाइलों और फ़ोल्डरों के लगभग सभी दृश्यमान विशेषताओं को बदल सकता है। तकनीकी रूप से, उपयोगकर्ता को SetFileAttributes फ़ंक्शन करने का अधिकार दिया गया है। और फ़ाइल संपीड़न DeviceIOControl फ़ंक्शन द्वारा किया जाता है, जिसे FSCTL_SET_COMPRESSION पैरामीटर पास करने की आवश्यकता होती है, और फ़ाइल संपीड़न इसकी एकमात्र नौकरी से बहुत दूर है। इस फ़ंक्शन का उपयोग करके, हम सिस्टम में सभी उपकरणों और उनके संसाधनों का प्रबंधन कर सकते हैं और, संभवतः, उपयोगकर्ता को इस फ़ंक्शन को करने का अधिकार देते हुए इसका मतलब है कि उसे व्यवस्थापक बनाना है।

एन्क्रिप्शन के साथ कहानी समान है: EncryptFile फ़ंक्शन, जो एन्क्रिप्शन के लिए ज़िम्मेदार है, इसके लिए आवश्यक है कि उपयोगकर्ता के पास अधिकार फ़ोल्डर सामग्री / डेटा पढ़ें, फ़ाइलें बनाएँ / डेटा लिखें, विशेषताएँ पढ़ें, विशेषताएँ लिखें और किसी ऑब्जेक्ट को सिंक्रनाइज़ करें। उनके बिना कुछ नहीं चलेगा।

विस्तारित विशेषताएँ लिखना (राइटएक्स्टेक्टेडविटेज) । खैर, ये वे हैं जो ओएस / 2 अनुप्रयोगों के साथ पिछड़े संगतता के लिए उपयोग किए जाते हैं, हाँ। खैर, C: \ Windows \ system32 \ services.exe फ़ाइल की उन्नत विशेषताओं में भी, हाल ही में ट्रोजन ( ZeroAccess.C ) लिखना शुरू किया। शायद आपको उन्हें उच्चतम स्तर पर बंद करना चाहिए? मैं इस सवाल का जवाब नहीं दे सकता, सैद्धांतिक रूप से - शायद यह इसके लायक है, व्यावहारिक रूप से उत्पादन में - मैंने इसकी कोशिश नहीं की है।

उप-फ़ोल्डर और फ़ाइलें हटाएं। (deleteesubdirectoriesandfiles) एक दिलचस्प अनुमति जो केवल फ़ोल्डर्स पर लागू होती है। लब्बोलुआब यह है कि उपयोगकर्ता डिलीट की अनुमति दिए बिना उप-फ़ोल्डर और पैरेंट फ़ोल्डर में फ़ाइलों को हटाने की अनुमति दें।

मान लीजिए कि एक उत्पाद सूची है जिसमें उपयोगकर्ता डेटा दर्ज करते हैं। मूल फ़ोल्डर कैटलॉग है, सबफ़ोल्डर के अंदर वर्णानुक्रम में, ए से जेड तक, उनके अंदर कुछ नाम हैं। हर दिन नाम बदलते हैं, कुछ जोड़ा जाता है, कुछ बदला जाता है, कुछ पुराना होता है और पुरानी जानकारी को हटाना पड़ता है। लेकिन यह बहुत अच्छा नहीं होगा अगर कोई पार्क या दुर्भावनापूर्ण इरादे के कारण पूरी K डायरेक्टरी को धमाके से उड़ा दे, जो यूजर्स के डिलीट राइट होने पर बहुत संभव है। यदि आप उपयोगकर्ताओं से हटाने का अधिकार हटाते हैं, तो व्यवस्थापक सुरक्षित रूप से कार्य को बदल सकता है, क्योंकि वह किसी विशेष आइटम को हटाने के अनुरोधों को प्रतिदिन पूरा करेगा।

यह वह जगह है जहाँ सबफ़ोल्डर्स और फ़ाइलों का विलोपन शामिल है। वर्णमाला के सभी अक्षरों में, वंशानुक्रम अक्षम है और उप-फ़ोल्डर और फ़ाइलों को हटाने का अधिकार उपयोगकर्ताओं को जोड़ा जाता है। परिणामस्वरूप, उपयोगकर्ता कैटलॉग फ़ोल्डर में एक अक्षर को हटा नहीं सकते हैं, लेकिन वे अक्षरों के अंदर कुछ भी हटा सकते हैं।

हटाना (हटाना)। यहां सब कुछ सरल है। एक डिलीट एक डिलीट है। रीड की अनुमति के बिना काम नहीं करता है।

पठन अनुमतियाँ (रीपरमीशन) उपयोगकर्ता को किसी फ़ोल्डर या फ़ाइल पर अनुमतियाँ देखने का अधिकार देती हैं। कोई अधिकार नहीं - उपयोगकर्ता सुरक्षा टैब पर अनुमति नहीं देखता है

अनुमतियां बदलें - उपयोगकर्ता को अनुमतियों को बदलने की अनुमति देता है, अनिवार्य रूप से उपयोगकर्ता को फ़ोल्डर का व्यवस्थापक बनाता है। इसका उपयोग, उदाहरण के लिए, तकनीकी सहायता के लिए प्राधिकरण को सौंपने के लिए किया जा सकता है। अनुमतियों को पढ़ने के अधिकार के बिना, इसका कोई मतलब नहीं है। अनुमतियाँ बदलने का अर्थ फ़ोल्डर का स्वामी बदलना नहीं है।

स्वामित्व में परिवर्तन (टेकनशिप) - इसके साथ, मालिक कौन है। मालिक वह उपयोगकर्ता है जिसने फ़ाइल या फ़ोल्डर बनाया है।

मालिक की एक ख़ासियत यह है कि उसके पास बनाए गए फ़ोल्डर तक पूर्ण पहुंच है, वह अपने बनाए गए फ़ोल्डर को अनुमति दे सकता है, लेकिन इससे भी महत्वपूर्ण बात, कोई भी अपने फ़ोल्डर या फ़ाइल पर अनुमतियों को बदलने के अधिकार से वंचित नहीं कर सकता है। यदि वास्या ने फ़ोल्डर बनाया, तो पीट को पूर्ण एक्सेस दिया, और पेटी ने सामान्य रूप से फ़ोल्डर में उपयोगकर्ताओं की पहुंच को धमाके से उड़ा दिया, और विशेष रूप से वास्य को, तब वास्या आसानी से यथास्थिति को बहाल कर सकती है, क्योंकि वह फ़ोल्डर का मालिक है। पेटीए फ़ोल्डर के मालिक को बदलने में सक्षम नहीं होगा, भले ही उसके पास अनुमति हो स्वामित्व में परिवर्तन। इसके अलावा, यहां तक कि वासना भी मालिक को नहीं बदल सकती, इस तथ्य के बावजूद कि उसने फ़ोल्डर बनाया। स्वामित्व का परिवर्तन केवल व्यवस्थापक या डोमेन व्यवस्थापक समूह पर लागू होता है।

लेकिन अगर पेटिया ने वसीना के फोल्डर के अंदर एक फाइल बनाई है और वासना को इसके लिए एक्सेस नहीं दिया है, तो वास्या केवल सोच सकती है और अनुमान लगा सकती है कि इस फाइल के अंदर क्या रहस्य है। वास्य फ़ाइल की अनुमतियों को बदलने में सक्षम नहीं होगा, क्योंकि फ़ाइल का मालिक पेट्या है। इसके अलावा, वासा फ़ाइल के मालिक को बदलने में सक्षम नहीं होगा - उप-मालिकों और वस्तुओं के मालिक को बदलना भी प्रशासक समूह का एक विशेषाधिकार है, जिसमें वासा का संबंध नहीं है। वास्या के पास एकमात्र विकल्प पेटिन की फ़ाइल को अपने फ़ोल्डर के अंदर देखना है।

हम प्रबंधन करते हैं

CMD अनुमतियों को प्रबंधित करने के लिए प्रसिद्ध आइकल्स का उपयोग करता है। PowerShell में, NTFS अनुमतियां प्रबंधित करना कुछ इस तरह दिखता है:

वह ऑब्जेक्ट प्राप्त करें जिस पर हम अनुमतियां सेट करेंगे

 $acl = get-acl c:\testperms

System.Security.AccessControl.FileSystemAccessRule वर्ग का उपयोग करके अधिकार स्ट्रिंग बनाएँ । हम निम्नलिखित पैरामीटर सेट कर सकते हैं:

समूह / उपयोगकर्ता नाम - जिनके लिए हम ACL करते हैं
अनुमति - ACE (पोस्ट में निर्दिष्ट मान लेता है)
जीयूआई पर लागू होता है, यह अतिरिक्त सुरक्षा सेटिंग्स में एक ड्रॉप-डाउन सूची है। वास्तव में, यह केवल 3 मान लेता है: कोई नहीं (केवल इस फ़ोल्डर में), कंटेनरइनहेरिट (सभी सबफ़ोल्डर पर लागू होता है), ऑब्जेक्टइनहेरिट (सभी फ़ाइलों पर लागू होता है)। मूल्यों को जोड़ा जा सकता है।
इस कंटेनर (GUI में चेकबॉक्स) के अंदर केवल उन वस्तुओं और कंटेनरों के लिए इन अनुमतियों को लागू करें - 3 मान भी हैं: कोई नहीं (अनियंत्रित), स्वाभाविक रूप से (ACE केवल चयनित प्रकार की वस्तु पर लागू होता है), nopropagateinitit (केवल इस कंटेनर के अंदर अनुमतियां लागू करें)।
नियम को अनुमति देना या अस्वीकार करना है

डिफ़ॉल्ट विशेषाधिकार रेखा इस तरह दिखाई देगी:

 $permission = “contoso.com\admin”,”fullcontrol”,”containerinherit,objectinherit”,”none”,”allow”

ऊपर परिभाषित अनुमतियों के साथ एक नया ऐस बनाएं

 $ace = new-object security.accesscontrol.filesystemaccessrule $permission

और हौसले से बनाए गए ACE को ऑब्जेक्ट पर लागू करें

 $acl.setaccessrule($ace) $acl | set-acl c:\testperms

व्यवहार में लाना

SMB और NTFS अनुमतियों के ज्ञान के साथ सशस्त्र, उन्हें मिलाकर आप बिल्कुल किसी भी जटिलता के उपयोग के नियम बना सकते हैं। कुछ उदाहरण:

टाइप	SMB अनुमतियाँ	NTFS की अनुमति
सभी के लिए फ़ोल्डर (सार्वजनिक)	उपयोगकर्ता - पढ़ें / लिखें	उपयोगकर्ता - बदलें
ब्लैक बॉक्स। उपयोगकर्ता गोपनीय रिपोर्ट, सुझाव, नारे लगाते हैं - मैनुअल पढ़ता है।	– / – /	– , . , – , ( , , ). . – .
क्षुधा	–	– , , . , . , , ( SysInternals Suite) .
	प्रत्येक उपयोगकर्ता के लिए - उसके फ़ोल्डर को पढ़ें / लिखें	प्रत्येक उपयोगकर्ता के लिए - उसके फ़ोल्डर में बदलें।

विंडोज पर अनुमतियां एक विवादास्पद चीज हैं। एक ओर, मूल अनुमतियाँ काफी सरल हैं और 90% मामलों को कवर करती हैं। लेकिन जब महीन ट्यूनिंग की आवश्यकता होती है: विभिन्न उपयोगकर्ता समूह, एक फ़ोल्डर, साझा किए गए फ़ोल्डर के लिए सुरक्षा आवश्यकताएं, फिर अतिरिक्त अनुमतियों, विरासतों और मालिकों से निपटना काफी मुश्किल हो सकता है।

मुझे उम्मीद है कि मैंने किसी और को भ्रमित नहीं किया है।

से प्रयुक्त सामग्री:
MSDN
टेकनेट