VWA Rhein-Neckar Dipl.-Ing. Thomas Kloepfer. Betriebssysteme (Windows NT) Vorlesung 4 Berechtigungskonzept

Transkript

1 VWA Rhein-Neckar Dipl.-Ing. Thomas Kloepfer Betriebssysteme (Windows NT) Vorlesung 4 Berechtigungskonzept WS 2001/2002

2 Inhaltsverzeichnis Inhaltsverzeichnis 4 Sicherheit und Berechtigungskonzept Berechtigungskonzept Lokal Sicherheits-ID, Gruppen-ID Zugriffskontrollliste (Access Control List, ACL) Berechtigungen Netzwerke Netzwerk-Protokoll Welche Protokolle kennt Windows NT Peer-To-Peer Vernetzung Client-Server Vernetzung Berechtigungskonzept Peer-To-Peer Netz Berechtigungskonzept Client-Server Netz Domänenkonzept Domäne mit einem Server: Domäne mit mehreren NT-Servern Domänen-Modelle Einzelne Domäne Master-Domäne Multiple-Master-Domäne Vertraute Domäne Vertrauensstellungen...10 V4.doc I

3 Berechtigungskonzept Lokal 4 Sicherheit und Berechtigungskonzept 4.1 Berechtigungskonzept Lokal Sicherheits-ID, Gruppen-ID Beim Anmelden an Windows NT muß jeder Benutzer einen Benutzernamen und ein Paßwort eingeben um mit dem System arbeiten zu können. Der Security-Monitor vergleicht nun die Angaben mit der Benutzer-Datenbank, in der alle gültigen Paare Benutzername/Paßwort vermerkt sind. Bei korrektem Paßwort wird der Zugang zum System gewährt. Der Security-Monitor erzeugt nun ein so genanntes Zugriffs-Token, das mit dem Benutzer und allen Anwendungen, die er startet, verknüpft ist. Das Token kann man sich wie einen Ausweis vorstellen, der dem Betriebssystem immer dann gezeigt werden muß, wenn sicherheitsrelevante Aktionen durchgeführt werden sollen (Datei öffnen, Verzeichnis anlangen, auf Drucker zugreifen...). Folgende Information ist in diesem Token (Ausweiß) enthalten: Sicherheits-ID (SID): Eindeutige Nummer, die den Benutzer innerhalb des Systems (Domain). Das Sicherheits-Token für einen Benutzer enthält genau eine SID, nämlich die, des Benutzers. Gruppen-ID: Eindeutige Nummer, die für jede Gruppe im System (Domain) eindeutig ist. Dem Sicherheits-Token eines Benutzers werden alle Gruppen-ID hinzugefügt, zu denen der Benutzer zugeordnet ist. Berechtigungen: Berechtigungen sind spezielle Zugriffskontrolleinrichtungen, die einzelnen Benutzern Zugriffsrechte gewähren oder diese Einschränken. Wenn die Zugriffskontolliste eines Objekts (z.b eines Druckers) die SID eines speziellen Benutzers enthält, dann wird dem Zugriffs- Token des Benutzers ein weiteres Element hinzugefügt, das die speziellen Zugriffsrechte für das Objekt signalisiert Zugriffskontrollliste (Access Control List, ACL) Jedes Objekte (Drucker, Datei, Verzeichnis, Modem...) von Windows NT hat eine eigenen Zugriffsliste, in der vermerkt ist, wer das Objekt benutzen darf. Bei einer Datei ist dann beispielsweise in der ACL vermerkt, wer diese Lesen darf Berechtigungen Folgende Berechtigungen können vergeben werden: Rechte Bemerkung R Lesen (Read) Der Inhalt des Objektes kann eingesehen werden, d.h. Dateien und Unterverzeichnisse dürfen aufgelistet werden. W Schreiben (Write) Der Dateninhalt des Objektes kann geändert werden. X Ausführen (Execute) Das Objekt kann ausgeführt werden. Bei Verzeichnissen bedeutet dies, das das Verzeichnis geöffnet werden kann. D Löschen (Delete) Das Objekt kann gelöscht werden. P O Berechtigungen Ändern (Change Permission) Besitz Übernehmen (Take Ownerschip) Die Zugriffsrechte für das Objekt können geändert werden. Der Besitz an einem Objekt kann geändert werden. Der Besitz kann nur übernommen werden, aber nicht einem anderen Benutzer zugewiesen werden. Als Besitzer eines Objekts hat man vollzugriff auf das Objekt und ist keinen Zugriffsbeschränkungen unterworfen. V4.doc

4 Um das Hantieren mit Berechtigungen zu vereinfachen existiert in Windows NT einer Reihe von Standardberechtigungen, die eine sinnvolle Kombination der Berechtigungs-Schalter darstellt: Standardberechtigungen für Dateien: Rechte Kürzel Bemerkungen Lesen (RX) Die Datei kann gelesen oder ausgeführt werden. Ändern (RWXD) Entspricht Lesen plus ändern, löschen und hinzufügen von Dateien. Vollzugriff alle Wie Ändern plus Berechtigung Ändern und Besitz Übernehmen. Kein Zugriff keine Keinerlei Zugriffsberechtigungen. Standardberechtigungen für Verzeichnisse: Rechte Verzeichnis Inhalt Bemerkungen Anzeigen (RX) - Der Benutzer kann die Namen der in diesem Verzeichnis enthaltenen Objekte einsehen; für den Inhalt werden kein speziellen Einstellungen angegeben. Lesen (RX) (RX) Benutzer können das Verzeichnis lesen und durchqueren sowie die Inhalte lesen und ausführen. Hinzufügen (WX) - Benutzer können dem Verzeichnis Dateien hinzufügen, können den Inhalt des Verzeichnisses jedoch nicht lesen oder ändern. Hinzufügen und Lesen (RWX) (RX) Benutzer können dem Verzeichnis Dateien hinzufügen, können den Inhalt des Verzeichnisses und dessen Dateien lesen, aber die Inhalte der Dateien nicht ändern. Ändern (RWXD) (RWXD) Benutzer können das Verzeichnis und seinen Inhalt hinzufügen, ändern, löschen, lesen und ausführen. Vollzugriff (RWXDPO) (RWXDPO) Benutzer haben volle Kontrolle über das Verzeichnis und seinen Inhalt Kein Zugriff () () Auf das Verzeichnis und seien Inhalt wird keinerlei Zugriff gewährt. 4.2 Das Sicherheits- und Berechtigungskonzept von Windows NT endet natürlich nicht an den Grenzen der lokalen Workstation. Im Gegenteil, erst im Netzwerk wird die Mächtigkeit des Sicherheits- und Berechtigungskonzeptes von Windows NT sichtbar. Eines der großen Probleme bei größeren Netzen ist es, einen guten Überblick über die vergebenen Berechtigungen und freigegebenen Ressourcen zu behalten. Hier ermöglicht das Domain-Modell von Windows NT eine Zentrale Verwaltung der Benutzer und deren Berechtigungen auf Ressourcen der Domain. Sehen wir uns zunächst einmal die Möglichkeiten der Vernetzung von Windows NT Rechnern an. V4.doc

5 4.2.1 Netzwerke Rechner können über ein Netzwerk verbunden werden. Das Netzwerk besteht dabei physikalisch gesehen aus einer Hardware zur Anbindung des Rechners (Netzwerkkarte, Modem, ISDN-Karte, Parallel-Port, Seriell-Port...) an das Netzwerk und der Hardware für die Übertragung der Daten (Netzverkabelung, Telefonleitung, Null-Modem-Kabel...). Die Hardware des Rechners, beispielsweise die Netzwerkkarte, erzeugt auf dem Netzwerkkabel eine Reihe von Spannungsimpulsen, die ein anderer angeschlossener Rechner dann über seine Netzwerkkarte empfangen kann. Softwareseitig müssen diese Sannungsimpulse dann richtig interpretiert werden. Es muß eine Vereinbarung zwischen den beiden Rechnern geben, wie die eintreffenden Spannungsimpulse zu interpretieren sind. Diese Definition wird Netzwerk-Protokoll genannt Netzwerk-Protokoll Ein Netzwerkprotokoll ist also die Festlegung, in welcher Form die Daten über das Netzwerk übertragen werden sollen. Es läßt sich mit einem Formular in einer Behörde oder einer Bank vergleichen. Die eigentlich zu übertagende Information wird dabei in eine vorgegebene Form gebracht. Beim Ausfüllen einer Überweisung beispielsweise sind Name, BLZ und Kto-No des Empfängers zwingend notwendig, ebenso die eigene BLZ und Kto-No und der zu überweisende Betrag. Analog werden Daten im Netzwerk über ein bestimmtes Protokoll übertragen. Jedes Protokoll setzt sich im Prinzip aus drei Teilen zusammen: Header DATA Trailor Im Header steht die Information zum Sender und zum Empfänger je nach dem um welches Protokoll es sich handelt ist diese Information mehr oder weniger ausführlich. Je nach Protokoll steht im Header noch eine Menge weiterer Information (Absendedatum, Angaben über die versendete Datenmenge, Eindeutige Nummer für dies Paket...). Im DATA-Teil befinden sich die eigentlich zu übertragenen Daten. Diese können in komprimierter oder unkomprimierter Form vorliegen. Im Trailor befindet sich Information zum Sichern der Übertragung. Beispielsweise kann hier eine Prüfsumme über alle Bits dieser Teil-Sendung (Paket) übertragen werden. Sollte ein Bit unterwegs verfälscht werden, so kann der Empfänger die an Hand der Prüfsumme feststellen und dann das Paket nochmals anfordern. V4.doc

6 Welche Protokolle kennt Windows NT Windows NT kennt zur Kommunikation über Netz nicht nur ein Protokoll, sondern viele. Die wichtigsten Protokolle, die von Windows NT unterstützt werden sind: Name Hersteller Bemerkungen NetBEUI IBM NetBIOS Extended User Interface. Das Protokoll NetBEUI wurde von IBM entwickelt. Es zeichnet sich durch eine gute Performance aus kann jedoch nicht geroutet (von einem Netz über einen Verbindungsrechner in ein zweites Netz) werden. Es empfiehlt sich in kleineren Netzen (nicht über 100 Arbeitsstationen), in denen alle Rechner in dem selben Netzwerk laufen. NetBEUI ist das Standardprotokoll von Windows for Workgroups. SPX/IPX Novell Sequenced Packet Exchange / Inter Packet Exchange Protokoll. Das Standardprotokoll von Novell NetWare. Etwas langsamer als NetBEUI, aber schneller als TCP/IP. Vor allem zu empfehlen und notwendig-, wenn Windows NT mit einem NetWare-Netz verbunden werden soll, wo es dann als einziges Protokoll verwendet werden kann. Apple Talk Apple Von Apple entwickeltes Protokoll, zu verwenden zur Kommunikation mit Apple-Rechnern. TCP/IP Internet Transmission Control Protokoll / Internet Protokoll. Eines der potentesten Protokolle. Es wurde ursprünglich für WANS (Wide Area Networks) entwickelt, hat sich jedoch auch im LAN durchgesetzt. Neben dem großen Vorteil der Verwendung eines einzelnen Protokolls für LAN- und WAN- Connectivity existieren eine große Anzahl von Utilities, von denen die meisten auf Windows NT portiert wurde. Dieses Protokoll empfiehlt sich bei größeren, Hierarchisch geordneten Netzwerken. Zur Anbindung von Unix-Rechnern ist dieses Protokoll Standard. Die Protokolle sind die Voraussetzung, das sich mehrere Rechner im Netz in einer gemeinsamen Sprache unterhalten können. Ein weiterer Aspekt, der bei der Vernetzung von Rechnern mit Windows NT von Bedeutung ist, ist die Art der Vernetzung aus logischer Sicht: Sind alle Rechner gleichberechtigt, oder haben manche Rechner eine bevorzugte Stellung im Netzwerk? Man unterscheidet hier bei zwei Möglichkeiten Peer-To-Peer Vernetzung Bei einem Peer-To-Peer Netzwerk sind alle Rechner gleichberechtigt. Jeder Rechner kann Ressourcen an das Netzwerk freigeben (Server) und auf freigegebene Ressourcen zugreifen (Client). In Windows NT ist dies das so genannte Arbeitsgruppen-Modell. Jeder Rechner kann gleichzeitig Client (Nutzer einer Ressource) und Server (Bereitsteller einer Ressource) sein Client-Server Vernetzung Ein Netzwerk nach dem klassischen Client-Server-Modell benötigt einen eigens für diesen Zweck eingerichteten Server, der die Ressourcen freigeben und so den Arbeitsstationen zur Verfügung stellen kann. V4.doc

7 4.2.2 Berechtigungskonzept Peer-To-Peer Netz Das Berechtigungskonzept in einem Peer-To-Peer Netz entspricht weitgehendst dem innerhalb einer Lokalen Workstation. Einziger Unterschied ist, das nun eine Ressource über das Netzwerk zur Verfügung gestellt wird. Um darüber zu entscheiden, ob auf eine Ressource zugegriffen werden darf, oder nicht, konsultiert der Rechner seine Sicherheits-Datenbank. Die Berechtigungen zur Ressource sind dort hinterlegt. Ist der User, der über das Netzwerk zugreifen will dort eingetragen, so wir der Zugriff gewährt. Beim Peer-To-Peer Netz schaut also jeder Rechner nur in seiner eigenen Sicherheits-Datenbank nach, wenn es um die Freigabe einer Ressource geht. Ein User, der auf mehreren Rechner Ressourcen nutzen will muß also auf jedem dieser Rechner einen Account haben Berechtigungskonzept Client-Server Netz Anders beim Client-Server Netz. Mit Windows NT wird ein Client-Server Netz durch den Einsatz mindestens eines Rechners mit Windows NT Server Betriebssystem aufgebaut. Windows NT Server beinhalte Windows NT Workstation und damit alle Merkmale von Windows NT Workstation. Zusätzlich unterstützt Windows NT Server die Einbindung von entfernten Arbeitsstationen (über Modem, ISDN und X.25), vom Apple Arbeitsstationen sowie von NetWare Clients. Windows NT Server vereinfacht die Verwaltung von großen Multi-Server-Netzwerken duch die Unterstützung des Domänenkonzeptes und des Konzeptes der vertrauten Domäne. Mehrere Server können zu einer Gruppe zusammen gefaßt werden, deren Verwaltung erfolgt auf einem Server ( Domain Controller), die Informationen werden an Controller weitergegeben. Der Benutzer meldet sich nur einmal im Netz an, und kann dann auf alle Ressourcen der Domäne zugreifen, Über das Konzept der vertrauten Domäne wird diese Situation auf mehrere Gruppen (Domänen) einfach erweitert Domänenkonzept Bei Windows NT ist unter einer Domäne eine Sicherheits- und Verwaltungs-Einheit zu verstehen. Ein oder mehrere Windows NT Server verhalten sich dabei wie ein einziges System; sie verwalten eine einzige Sicherheits-Datenbank am Domänen-Controller, die die Sicherheits und Benutzerinformation der Domäne enthält. Die Freigegebenen Ressourcen auf Computern in einer Domäne sind jedoch nur innerhalb der Domäne sichtbar, von anderen Domänen aus kann nicht ohne weiteres auf sie zugegriffen werden. Der Domänen-Controller ist also verantwortlich für die Speicherung der Master-Copy der Benutzerdatenbank und Sicherheitsinformation. Weitere Server in der Domäne können als Sicherungs-Domän-Controller verwendet werden. Sie speichern jeweils eine Kopie der Verwaltungsdateien und einer von ihnen kann die Rolle des Domän-Controllers bei dessen Ausfall übernehmen. V4.doc

8 Domäne mit einem Server: Domain NT Server Security - DB NT Workstations Bei einer Domäne mit einem NT Server werden die NT Workstations der Domäne zugeordnet. Damit nimmt der NT-Server ein privilegierte Stellung gegenüber den s ein. Alle Benutzerkonten der Domäne befinden sich in der Security-DB (Sicherheitsdatenbank) des NT- Servers. Ein User, der in der Security-DB des Servers eingetragen ist kann auf jeder Workstation innerhalb der Domäne arbeiten Domäne mit mehreren NT-Servern Domain NT Server Security - DB NT Server Copy of Security - DB NT Workstations Befinden sich in einer Domäne mehrere NT-Server, so übernimmt einer der NT Server die Rolle des -s. Dieser NT Server ist dann allen anderen NT Servern übergeordnet. Der Promary- beherbergt die Security-DB der Domäne. Alle weiteren NT Server werden -. Ein - hält eine Kopie der Security-DB, die er selbständig auf dem neusten Stand hält. Der - kann bei Ausfall des -s dessen Aufgaben übernehmen. V4.doc

9 4.2.5 Domänen-Modelle In der Praxis sind unterschiedlich große Netzwerke mit unterschiedlichen Anforderungen hinsichtlich Strukturierung und logischer Zusammenfassung von Netzwerk-Segmenten zu verwalten. Um diesen vielfältigen Anforderungen zu entsprechen, wurden Domänen-Modelle entwickelt, die bestimmten logischen Strukturen entsprechen. Die Unterschiede zwischen den im folgenden beschriebenen Modellen liegen vor allem im Umfang des administrierten Netzwerkes, seiner Kapazität und der Verwaltungsorganisation Einzelne Domäne Im Einzel-Domänen-Modell existiert nur eine einzige Domäne. Ein einzelner Domänen-Controller (mit beliebig vielen - oder Sicherungs-Domänen-Controllern) verwaltet die Benutzerkonten und den Zugriff auf die Ressourcen. V4.doc

10 Master-Domäne Existieren mehrere Domänen, so können diese sich gegenseitig eine Vertrauensstellung einräumen. Master Domäne Mehrere Domänen werden von einer zentralen Domäne aus verwaltet. Der Domänen-Controller der zentralen Domäne beherbergt die Benutzer-Datenbank. Jede Domäne hat einen Domäne-Controller und eventuell mehrere - oder Sichrungs-Domänen-Controller. Die Domäen-Controller der dezentralen Domänen vertrauen der zentralen Domäne. Benutzerkonten die in der Master-Domäne angelegt werden, sind also auch in allen anderen Domänen gültig. V4.doc

11 Multiple-Master-Domäne Geht das Vertauen nicht streng in eine Richtung, sondern vertrauen sich Domänen gegenseitig, so liegt ein Multiple-Master-Domäne-Modell vor: Master Domäne Master Domäne In diesem Modell sind mehrere nach dem Master-Domänen-Modell organisierte Domänen zusammengeschlossen. Die zentralen Domänen-Controller verwalten jeweils einen Teil der Benutzerkonten-Datenbank. Durch gegenseitige Vertrauensstellungen zwischen den einzelnen zentralen Domänen wird der Zugang der Benutzer von einer beliebigen Domäne aus gewährleistet. Die angeschlossenen Domänen können über Vertrauensstellungen zur Master Domäne Ressourcen zur Verfügung stellen. V4.doc

12 4.2.6 Vertraute Domäne Vertrauensstellungen Domänen vereinfachen die Verwaltung von Netzwerken. Existiert jedoch mehr als eine Domäne und benötigt ein Benutzer Ressourcen aus mehr als einer Domäne, müsset er ein Benutzerkonto in jeder Domäne haben; er müsset sich außerdem in jeder Domäne anmelden, um auf benötigte Ressourcen zugreifen zu können. Die Verwaltung all dieser Benutzerkonten wäre ein zusätzliche Aufgabe der Administrators. Um diesem Problem zu begegnen, wurde das Prinzip der vertrauten Domänen (trust relationship) eingeführt. Vertrauensstellungen verbinden Domänen dahingehend, das Benutzerkonten und globale Gruppen in einer Domäne verwendet werden können, in der sie nicht definiert wurden. Vertrauensstellungen zwischen Domänen werden also benutzt, um Rechte von Benutzerkonten und globalen Gruppen zu teilen, was eine Verminderung des Verwaltungsaufwands bewirkt Für den Netzwerkadministrator haben Vertrauensstellung einen weiteren Vorteil. Normalerweise benötigt jede Domäne ihre eigene Benutzerdatenbank. Wird die Benutzerdatenbank jedoch in der Domäne zentralisiert und werden alle anderen Domänen angewiesen, dieser eine Domäne zu trauen, kann die Verwaltung des gesamten Netzwerkes mit all seinen Domänen durch die Verwaltung der einen zentralen Domäne erfolgen. Für die Benutzer bedeutet dies, das sie in allen Domänen mit dem selben Benutzerkonto und Kennwort arbeiten können. Zwei Arten von Vertrauensstellungen sind zu unterscheiden: Domäne A vertraut Domäne B Domäne A vertraut Domäne B, Domäne B vertraut Domäne A Im ersten Fall - Domäne A vertraut Domäne B können Benutzer der Domäne B (der vertrauten Domäne) Ressourcen der Domäne A (der vertrauenden Domäne) benutzen. Im zweiten Fall beide Domänen vertrauen einander können Benutzer beider Domänen die Ressourcen der jeweils anderen Domäne benutzen. V4.doc