Osa 2 teooria: Pärimine, omanik, keelamine ja ACL

Alustuseks

Osa 1 lõpus jäi küsimus: miks on Everyone: Full control halb mõte? Mõtle ja kirjuta oma vastus üles.

1. Pärimine

• Vaikimisi pärib fail või kaust õigused oma ülemkaustalt.
• Päritud kirjed on vahekaardil Turve hallid. Vaates Täpsemalt (Advanced) näitab veerg Päritud asukohast (Inherited from), kust need tulevad.
• Ülemkausta õiguste muutmine muudab kõike selle all, kui pärimine pole välja lülitatud.

Pärimise väljalülitamisel on kaks valikut:

Valik	Mis juhtub
Teisenda (Convert) päritud õigused selgesõnalisteks	Kirjed jäävad samaks ja sa saad neid muuta
Eemalda (Remove) kõik päritud õigused	Alustad tühja loendiga ja võid iseenda välja lukustada

Tõhus juurdepääs

Vaates Täpsemalt on vahekaart Tõhus juurdepääs (Effective Access). Seal saad valida kasutaja ja näha, milliseid õigusi tal kõigi kirjete kokkuvõttes on.

➜ Proovi järele: Harjutus 1

2. ACL käsureal

icacls näitab ja muudab õigusi lühikujul:

Kood	Tähendus
F	Täielik kontroll (Full)
M	Muutmine (Modify)
RX	Lugemine ja käivitamine
R	Lugemine
W	Kirjutamine
(OI)	Objekti pärimine: kehtib failidele
(CI)	Konteineri pärimine: kehtib alamkaustadele
(I)	Päritud kirje

PowerShellis näitab õigusi ka käsk Get-Acl. Õiguste muutmiseks kasutame selles tunnis käsku icacls.

➜ Proovi järele: Harjutus 2 ja Harjutus 3

3. Omanik

• Igal objektil on omanik (owner). Omanik saab alati objekti õigusi muuta, isegi kui tal on juurdepääs keelatud.
• Administraator saab objekti omanikuks saada (take ownership) ja seejärel endale õigused anda.
• Omanik olemine ei ole sama mis lugemis- või kirjutamisõigus.

4. Kuidas õigused kokku liituvad

1. Õigused liituvad: kui kasutaja on kahes rühmas, saab ta kõik, mida kumbki rühm lubab.
2. Keelamine võidab lubamise: selgesõnaline keelamine (Deny) võidab lubamise (Allow). Kasuta keelamist harva, sest see tekitab kergesti segadust.
3. Selgesõnaline võidab päritud kirje selles järjekorras, kuidas Windows kirjeid hindab. Praktikas kehtib rusikareegel: keelamine võidab.
4. Kui miski juurdepääsu ei luba, siis juurdepääsu pole. See on vaikimisi nii.

Eriõigused

Põhiõigused koosnevad peenematest õigustest, näiteks „Kausta läbimine”, „Alamkaustade ja failide kustutamine”, „Õiguste muutmine” ja „Omanikuks saamine”. Need on nähtavad vaates Täpsemalt > Redigeeri. Neid kõiki pole vaja teada.

➜ Proovi järele: Harjutus 4

5. Ühiskausta ja NTFS-i õigused

• Ühiskausta õigused (share permissions) kehtivad ainult siis, kui kausta kasutatakse võrgu kaudu.
• NTFS-i õigused kehtivad alati, nii kohapeal kui ka võrgu kaudu.
• Kui kehtivad mõlemad, võidab rangem tulemus.
• Tänapäeval antakse ühiskaustale laiad õigused ja juurdepääsu piiratakse NTFS-i õigustega.

Seda saad proovida lisaülesandes 3.1.

Kontrolli, kas said aru

Mark on rühmas IT (Lugemine) ja rühmas HR (keelatud Kirjutamine). Kas ta saab kirjutada?

Ei, keelamine võidab.

Kaust pärib ülemkaustalt õiguse Muutmine. Kuidas see ühes alamkaustas peatada?

Lülita pärimine välja valikuga Teisenda ja eemalda soovimatu kirje.

Kes saab muuta õigusi kaustal, mida ta avada ei saa?

Omanik ning administraator, kes saab kausta omanikuks.

Miks võib vahekaart Tõhus juurdepääs erineda tegelikkusest?

See ei tea kõike, näiteks ühiskausta õigusi ega mõningaid eritingimusi. Testi alati ka päris sisselogimisega.