WD2002: Como utilizar DSACLS.exe no Windows Server 2003 e Windows 2000

Este artigo descreve como utilizar a ferramenta DSACLS.exe (DSACLS.exe) para gerir o controlo listas (ACL, access control list) de acesso para serviços de directório no Microsoft Windows Server 2003 e Microsoft Windows 2000 Server. DSACLS.exe é uma ferramenta da linha de comandos que pode utilizar para consultar os atributos de segurança e para alterar permissões e atributos de segurança de objectos do Active Directory. Que é o equivalente da linha de comandos do separador Segurança nas ferramentas snap-in do Active Directory do Windows como, por exemplo, utilizadores do Active Directory e Computadores e locais do Active Directory e Serviços.

DSACLS.exe está incluído nas ferramentas de suporte do Windows. Para instalar as Ferramentas de suporte, execute o Setup.exe a partir da pasta Support\Tools no Windows Server 2003 ou o CD-ROM do Windows 2000 Server.

Pode utilizar DSACLS.exe e outro Windows Suporte Tool, diagnóstico ACL, Access Control List (Acldiag.exe), para fornecer funcionalidade diagnóstico e configuração da segurança em objectos do Active Directory a partir da linha de comandos.

NOTA pode utilizar DSACLS.exe para apresentar e alterar permissões (entradas de controlo de acesso) na lista de controlo de acesso de objectos no Active Directory Application (ADAM) no Windows Server 2003 modo (ACL, Access Control List).

IMPORTANTE não utilize DSACLS.exe para modificar permissões se você tiver implementado uma solução Hosting como Hosting baseado no Windows, alto volume Exchange (HVE), Hosted Messaging e colaboração, ou Exchange Hosted, ou se o cliente estiver a utilizar o serviço de aprovisionamento da Microsoft. As soluções Hosting dependem do modelo de segurança específica para isolar os clientes do ISP uns dos outros.

Descrição geral das DSACLS.exe

DsAcls utiliza a seguinte sintaxe:Pode utilizar os seguintes parâmetros com DSACLS.exe:

• Objecto : isto é o caminho para o objecto Serviços de directório no qual pretende apresentar ou alterar as ACL. Este caminho tem de ser um nome distinto (também conhecido como RFC 1779 OU x.500 formato). Por exemplo::
  CN = alguém, ou = software, ou de engenharia, dc = = microsoft, DC = Com " "
  Para especificar um servidor, adicione \\Servername\ antes o objecto. Por exemplo::
  \\MyServer\CN=Someone,OU=Software,OU=Engineering,DC=Microsoft,DC=Com
  Quando executa o comando DSACLS com apenas a Objecto Parâmetro ( DSACLS Objecto ), Informações de segurança sobre o objecto é apresentado.
• /a : Utilize este parâmetro para apresentar a propriedade e informações de auditoria com as permissões.
• { /d Utilizador | Grupo }:PermissõesUtilize este parâmetro para negar permissões especificadas a um utilizador ou grupo. Utilizador Tem de utilizar Utilizador@Domínio ou domínio\utilizador formato, e Grupo Tem de utilizar formato Group@Domain ou domínio\grupo. Pode especificar mais do que um utilizador ou grupo num comando. Para mais informações sobre a sintaxe correcta a utilizar para Permissõesconsulte o Sintaxe <Permissions> Secção posterior contidas neste artigo.
• /g {Utilizador | Grupo}:PermissõesUtilize este parâmetro para conceder permissões especificadas a um utilizador ou grupo. Utilizador Tem de utilizar Utilizador@Domínio ou domínio\utilizador formato, e Grupo Tem de utilizar formato Group@Domain ou domínio\grupo. Pode especificar mais do que um utilizador ou grupo num comando. Para mais informações sobre a sintaxe correcta a utilizar para Permissõesconsulte o Sintaxe <Permissions> Secção posterior contidas neste artigo.
• /i p :{ | s | t }: utilizar este parâmetro para especificar um dos seguintes sinalizadores de herança:
  • p : Utilize esta opção para um nível apenas as permissões herdáveis se propaguem.
  • s : Utilize esta opção para propagar as permissões herdáveis a SubObjects apenas.
  • t : Utilize esta opção para propagar as permissões herdáveis a este objecto e SubObjects.
• /n : Utilize este parâmetro para substituir o acesso actual no objecto, em vez de editá-lo.
• /p :{ y | n }: Este parâmetro determina se o objecto pode herdar permissões aos respectivos objectos principais. Se omitir este parâmetro, as propriedades de herança do objecto não são alteradas. Utilize este parâmetro para marcar o objecto como protegidos y (= yes) ou não protegido ( n = Não).
  
  NOTA este parâmetro altera uma propriedade do objecto, um não de acesso (ACE, access control ENTRY) de Controlo de entrada. Para determinar se uma ACE é herdável, utilize o parâmetro /I.
• { /r Utilizador | Grupo}: Utilize este parâmetro para remover todas as permissões para o utilizador ou grupo especificado. Pode especificar mais do que um utilizador ou grupo num comando. Utilizador Tem de utilizar Utilizador@Domínio ou domínio\utilizador formato, e Grupo Tem de utilizar formato Group@Domain ou domínio\grupo.
• /s : Utilize este parâmetro para restaurar a segurança no objecto para a segurança predefinida para essa classe de objectos, tal como definido no esquema do Active Directory.
• /t : Utilize este parâmetro para restaurar a segurança na árvore de objectos para a predefinição para cada classe de objecto. Este parâmetro é válido apenas quando também utiliza o parâmetro /s .

Sintaxe Permissões

Tem de utilizar a seguinte sintaxe para Permissões Quando utiliza a { /d Utilizador | Grupo }:Permissões ou /g {Utilizador | Grupo }:Permissões Parâmetro:

• PermissionBits Pode utilizar qualquer um dos valores que se segue, que podem ser concatenados em conjunto sem espaços:
  
  Permissões genéricos
  Reduzir esta tabelaExpandir esta tabela

  Gr	Leitura genérica
  GE	Execução genérica
  GW	Escrita genérica
  GA	ALL genérico

  
  Permissões específicas
  
  
  Reduzir esta tabelaExpandir esta tabela

  SD	Eliminar
  DT	Eliminar um objecto e todos os respectivos objectos subordinados.
  RC	Ler as informações de segurança
  WD	Alterar as informações de segurança
  WO	Alterar as informações de proprietário
  LC	Listar os objectos subordinados de um objecto
  Cc	Criar objecto subordinado. Se { objecto | propriedades } não for especificado para definir uma propriedade específica, aplica-se a todas as propriedades de um objecto. Caso contrário, aplica-se à propriedade especificada do objecto.
  DC	Eliminar objecto subordinado. Se { objecto | propriedades } não for especificado para definir uma propriedade específica, aplica-se a todas as propriedades de um objecto. Caso contrário, aplica-se à propriedade especificada do objecto.
  WS	Escrever no objecto automático. Se { objecto | propriedades } não for especificado para definir uma propriedade específica, aplica-se a todas as propriedades de um objecto. Caso contrário, aplica-se à propriedade especificada do objecto.
  RP	Ler propriedade. Se { objecto | propriedades } não for especificado para definir uma propriedade específica, aplica-se a todas as propriedades de um objecto. Caso contrário, aplica-se à propriedade especificada do objecto.
  Pw	Escrever propriedade. Se não for especificado para definir uma propriedade específica, { Object|Property } aplica-se a todas as propriedades de um objecto. Caso contrário, aplica-se à propriedade especificada do objecto.
  AC	Controlar o acesso para a direita. Se { objecto | propriedades } não for especificado para definir uma propriedade específica, aplica-se a todas as propriedades de um objecto. Caso contrário, aplica-se à propriedade especificada do objecto.
  LO	Listar a acesso a objectos. Pode utilizar para conceder acesso lista a um objecto específico se lista filhos (LC) também não for concedida para a principal. Pode também ser negado em objectos específicos para ocultar os objectos se o utilizador ou grupo tiver LC instalado o principal. Por predefinição, o Active Directory não impõe esta permissão.

• { objecto | propriedades }: Isto representa o nome de visualização do tipo de objecto ou propriedade. Por exemplo, " User " (sem as aspas) é o nome de visualização de objectos do utilizador e " número de telefone " (sem as aspas) é o nome de visualização para a propriedade Número de telefone.
  
  Por exemplo, o seguinte comando permite ao utilizador para criar todos os tipos de objectos subordinados:
  /G Domain\User:CC
  
  No entanto, o seguinte comando permite ao utilizador que criar apenas objectos de computador subordinados:
  /G Domain\User:CC;computer
• InheritedObjectTypeEste representa o nome de visualização do tipo de objecto através do qual as permissões deverão ser herdadas.
  
  Se não for especificado um tipo de objecto, a permissão pode ser herdada por todos os tipos de objecto. Este parâmetro é utilizado apenas quando as permissões são herdáveis.
  
  Por exemplo, o seguinte comando permite todos os tipos de objectos que herdem a permissão:
  /G Domain\User:CC
  No entanto, o seguinte comando permite apenas objectos de utilizador que herdem a permissão:
  /G Domain\User:CC;;user

IMPORTANTE : Utilizar Permissões Apenas quando define permissões específica de objectos que substituem as permissões predefinidas definidas no esquema do Active Directory para esse tipo de objecto. Utilize com cuidado e apenas se já tem um conhecimento completo das permissões específica de objectos.



Exemplos de permissões

• SDRCWDWO;; utilizador
  
  Esta notação representa eliminar, ler as informações de segurança, alterar informações de segurança e alterar as permissões a propriedade de objectos do tipo " utilizador ".
• CCDC; grupo;
  
  Esta notação representa Criar subordinados e Eliminar permissões subordinado para criar ou eliminar objectos do tipo " group ".
• RPWP; telephonenumber;
  
  Esta notação representa de propriedades de leitura e escrita propriedade permissões relativamente à propriedade Número de telefone.

Para mais informações sobre o comando DSACLS.exe , escreva dsacls /? na linha de comandos e prima ENTER..
Para mais informações sobre as actualizações mais recentes para Dscals.exe que são incluídas no Microsoft Windows Server 2003 Service Pack 1 (SP1), clique no número de artigo que se segue para visualizar o artigo na Microsoft Knowledge Base:
Para obter informações adicionais sobre como instalar as ferramentas de suporte do Windows 2000, clique no número de artigo que se segue para visualizar o artigo na base de dados de conhecimento da Microsoft (KB, Microsoft Knowledge Base):: Para obter informações adicionais as ferramentas que incluídas com as ferramentas de suporte do Windows 2000, clique o números de artigo que se segue para visualizar os artigos na Microsoft Knowledge Base: