windows访问控制列表ACL

windows访问控制列表 --ACL(Access Control List)

关于授权(authorization) 与 访问控制（Acess Control）

微软官网详细介绍：

1. https://docs.microsoft.com/zh-cn/windows/win32/secauthz/authorization-portal
2. https://docs.microsoft.com/zh-cn/windows/win32/secauthz/access-control

术语

• ACL: 访问控制列表（ACL，Access Control Lists）。
• ACE: 访问控制项（ACE，Access Control ITEM）
• SO : 安全对象 (securable object)
• SD : 安全描述符 (securable Descriptors)
• SID : 安全标识符 (securable identifiers)
• ADSI : Active Directory服务接口(service interface)

定义

ACL是一个windows中的表示用户（组）权限的列表。

分类

ACL分为两类

1. Discretionary Access Control List (DACL) 自由访问控制列表
2. System Access Control List (SACL) 系统访问控制列表

DACL

DACL列表包含了用户和组的列表，以及相应的权限，允许或拒绝。每一个用户或组在任意访问控制列表中都有特殊的权限。

DACL是安全对象（securable object） 的一个属性，用来表示 安全对象 的访问权限的列表。

当一个进程试图访问一个安全对象时，系统会检查该指向的DACL中的ACE。

• 如果该对象没有DACL，允许任何访问。
• 如果有DACL，但是其中没有ACE，拒绝所有访问。

DACL控制访问控制的详细原理 https://docs.microsoft.com/zh-cn/windows/win32/secauthz/how-dacls-control-access-to-an-object

SACL

而SACL是为审核服务的，包含了对象被访问的时间,他们都是在sd(securable Descriptors——安全描述符)中的！

SACL是系统中的一个列表，用来记录指定用户（组）、指定类型的访问的访问结果，并记录。

安全对象(so) & 安全描述符(sd)

安全对象

安全对象(Securable Object): 微软官网解释

以下引用内容来自微软官网：

A securable object is an object that can have a security descriptor. All named Windows objects are securable. Some unnamed objects, such as process and thread objects, can have security descriptors too. For most securable objects, you can specify an object’s security descriptor in the function call that creates the object. For example, you can specify a security descriptor in the CreateFile and CreateProcess functions.

In addition, the Windows security functions enable you to get and set the security information for securable objects created on operating systems other than Windows. The Windows security functions also provide support for using security descriptors with private, application-defined objects. For more information about private securable objects, see Client/Server Access Control.

Each type of securable object defines its own set of specific access rights and its own mapping of generic access rights. For information about the specific and generic access rights for each type of securable object, see the overvie