Windows Live
Facebook
Twitter
Linkedin
Digg it
Yahoo
Delicious
StumbleUpon
Yammer
Reddit
Technorati
FriendFeed
Email文章編號: 922836 - 上次校閱: 2007年10月11日 - 版次: 3.4 如何將標示為機密的 Windows Server 2003 Service Pack 1 屬性
在此頁中結論在 [Active Directory 目錄服務對於 Microsoft Windows Server 2000 和 Microsoft Windows Server 2003，很難防止已驗證的使用者讀取屬性。通常，如果使用者要求的屬性或其屬性設定的 READ_PROPERTY 權限，是授與讀取權限。在 Active Directory 中的預設安全性設定使已驗證的使用者具有所有屬性的 「 讀取 」 權限。本文將告訴您，如何防止 Windows Server 2003 Service Pack 1 (SP1) 中的屬性的讀取權限。 簡介本文將告訴您，如何將標示為機密的 Windows Server 2003 Service Pack 1 屬性。 其他相關資訊Windows Server 2003 SP1 引入了一種標示為機密屬性的方法。若要執行此動作會修改 searchFlags 屬性結構描述中的值。searchFlags 屬性值包含多重位元代表各種屬性的屬性。比方說如果設定位元 1 被索引屬性。位元 7 (128) 會將屬性指定為機密。 需求和條件約束僅網域控制站正在執行 Windows Server 2003 SP1 或更新版本的強制執行機密屬性的讀取權限檢查。「 機密屬性 」 功能是繫結至 Windows Server 2003 SP1 或更新版本的安裝。這項功能不會根據是否啟用網域或樹系功能等級。請勿使用 「 機密屬性 」 功能，除非下列情況成立：
測試如同您會測試對 Active Directory 所做的任何變更與任何結構描述延伸，我們建議您在對映生產樹系的實驗室中徹底測試屬性的變更。測試，可協助您在程序的運作順暢的保證，並偵測到問題時。存取控制檢查之後 Windows Server 2003 SP1 安裝 Active Directory Active Directory 執行的讀取權限檢查之後檢查機密屬性。如果機密屬性存在，如果已為這些屬性設定 READ_PROPERTY 權限，Active Directory 也會要求 CONTROL_ACCESS 屬性或其屬性集 」 權限。附註[完全控制] 使用權限設定包括 CONTROL_ACCESS 的權限。 使用中的目錄會在下列情況中執行的讀取權限檢查在物件上：
泛型和特定物件的存取控制項目在 Active Directory 中的每個物件具有與它相關聯的存取控制資訊。這項資訊稱為安全性描述元。 安全性描述元會控制可使用者和群組的存取類型。建立物件時，會自動建立安全性描述元。安全性描述元中的使用權限項目集稱為判別存取控制清單 (DACL)。DACL 中的每個使用權限項目稱為存取控制項目 (ACE)。 可以授與該物件的權限或 CONTROL_ACCESS 的授與使用權限機密屬性在物件上使用泛型或特定物件的存取控制項目，方法。 藉由在物件上明確地戳記或使用繼承，您可以授與權限。繼承則表示是容器的階層架構中較高的容器上設定的可繼承的存取控制項目。 泛型和特定物件的存取控制項目基本上都相同。什麼分開的設定它們是控制項的存取控制項目提供透過繼承以及物件存取透過程度。泛用的存取控制項目套用至整個物件。特定物件的存取控制項目提供進一步控制何種物件繼承存取控制項目。當您使用 [特定物件的存取控制項目時您可以指定該屬性或繼承的存取控制項目物件的屬性集。 當您使用 [機密屬性] 功能時 CONTROL_ACCESS 使用權限是授與指派給使用者的通用存取控制項目。如果 CONTROL_ACCESS 權限授予藉由指派特定物件的存取控制項目，使用者，將只有 CONTROL_ACCESS 機密屬性的權限。 當您使用的通用存取控制項目時，會授與下列權限：
使用者介面在 Windows Server 2003 不會公開 Control_Access 權限。您可以使用 Dsacls.exe 工具藉由指定泛用存取控制項目設定 Control_Access 權限。 但是，您不能使用此工具可指派特定物件的存取控制項目。唯一可以藉由指派特定物件的存取控制項目設定 Control_Access 權限的工具是 Ldp.exe 工具。 附註存取控制的深入討論已超出本文的範圍。如需關於存取控制的詳細資訊，請造訪下列 Microsoft 網站： http://msdn.microsoft.com/en-us/library/aa374860(VS.85).aspx
(http://msdn.microsoft.com/en-us/library/aa374860(VS.85).aspx)
http://technet.microsoft.com/en-us/library/cc749433.aspx
(http://technet.microsoft.com/en-us/library/cc749433.aspx)
如何使用繼承在大型網域中並不實用以手動方式將控制項存取指派給使用者或每個物件具有機密屬性群組。解決方案是使用繼承來設定容器的階層架構中較高的可繼承的存取控制項目。這個存取控制項目套用至該容器的所有子物件。預設情況下，繼承會啟用所有組織單位 (OU)，以及為內建的系統管理員帳戶以外的所有使用者帳戶。如果您建立了具有繼承停用使用者帳戶或複製內建的系統管理員帳戶建立系統管理帳戶，您必須啟用這些帳戶的繼承。否則，繼承模型並不會套用到這些帳戶。 如何建立機密屬性
下列範例.ldf 檔案可用來執行下列動作：
範例.ldf 檔案下列程式碼會將屬性加入至結構描述，並標示為機密屬性。如何讓非系統管理使用者查看屬性資料附註下列程序會要求您使用 Ldp.exe 工具，會包含與 Windows Server 2003 R2 Active Directory 應用程式模式 (ADAM)。其他版本 Ldp.exe 工具不能設定權限。如何以手動方式設定使用者帳戶上的 [Control_Access 權限
如何使用繼承來指派 Control_Access 權限若要將繼承建立存取控制項項目，對您想要的使用者或群組，較高層容器階層架構中有機密屬性的物件相比授與 Control_Access 權限。在網域層級或適用於企業容器階層架構中的任何點，您可以設定這個存取控制項目。子物件具有機密屬性必須有啟用的繼承。如果要指派 Control_Access 權限，請依照下列步驟執行：
如何判斷 systemFlags 屬性值，當您使用現有的屬性如果您使用現有的物件時，您必須確認目前 searchFlags 屬性值是什麼。如果您將物件加入您可以定義值，當您新增物件。有許多方法來取得 searchFlags 屬性值。使用最適合您的方法。若要使用 Ldp.exe 工具取得 searchFlags 屬性值，請依照下列步驟執行：
128 + current searchFlags attribute value = new searchFlags attribute value 如何判斷屬性是否為基底結構描述屬性若要判斷是否屬性是基底結構描述屬性，請使用 Ldp.exe 工具檢查 systemFlags 屬性值。LDP 輸出的員工-識別碼 – systemFlags： 0x10 = (FLAG_SCHEMA_BASE_OBJECT)在下列的範例 Ldp.exe 輸出 Ldp.exe 會識別 systemFlags 屬性值，為 0x10 和基底結構描述屬性。 因此，您無法將標示為機密這個屬性。LDP 輸出的員工編號 systemFlags： 0x0 =)在下列的範例 Ldp.exe 輸出 Ldp.exe 會識別 systemFlags 屬性值為 0。 This attribute can be marked as confidential.物件識別項當您新增的屬性或類別物件的結構描述時，其中一個必要的屬性是物件識別元 (也稱為 OID)。物件識別項用來唯一定義物件類別和屬性。請確定您的公司會取得要識別其屬性的唯一物件識別項。不支援產生例如 Oidgen.exe] 工具的物件識別碼的工具。若要從 Microsoft 取得物件識別元，請造訪下列 Microsoft 網站]：http://msdn2.microsoft.com/en-us/library/ms677620.aspx
(http://msdn2.microsoft.com/en-us/library/ms677620.aspx)
屬性語法attributeSyntax 屬性，也才能將新物件加入至結構描述。這個屬性會定義儲存體表示、 位元組順序和比對規則進行比較的屬性型別。語法定義屬性值必須是字串]、 [一個數字] 或 [時間單位。每個物件的每個屬性都正好與其中一個的語法與相關聯。請確定您選取正確的屬性語法的新屬性。這點特別重要，如果您同步輕量型目錄存取通訊協定 (LDAP) 目錄與另一個 LDAP 目錄。將屬性加入至結構描述之後，不能變更其屬性的語法。如需有關 attributeSyntax 屬性的詳細資訊，請造訪下列 Microsoft 網站]： hhttp://msdn.microsoft.com/en-us/library/ms675236(VS.85).aspx
(http://msdn.microsoft.com/en-us/library/ms675236(VS.85).aspx)
如需詳細 searchFlags 屬性的值的相關資訊，請造訪下列 Microsoft ? ? ‾ ? ?]，然後再搜尋 ＜ 效果的索引上搜尋 ＞]：http://technet2.microsoft.com/WindowsServer/en/library/8196d68e-776a-4bbc-99a6-d8c19f36ded41033.mspx?mfr=true
(http://technet2.microsoft.com/WindowsServer/en/library/8196d68e-776a-4bbc-99a6-d8c19f36ded41033.mspx?mfr=true)
這篇文章中的資訊適用於:
 機器翻譯重要：本文是以 Microsoft 機器翻譯軟體翻譯而成，而非使用人工翻譯而成。Microsoft 同時提供使用者人工翻譯及機器翻譯兩個版本的文章，讓使用者可以依其使用語言使用知識庫中的所有文章。但是，機器翻譯的文章可能不盡完美。這些文章中也可能出現拼字、語意或文法上的錯誤，就像外國人在使用本國語言時可能發生的錯誤。Microsoft 不為內容的翻譯錯誤或客戶對該內容的使用所產生的任何錯誤或損害負責。Microsoft也同時將不斷地就機器翻譯軟體進行更新。 按一下這裡查看此文章的英文版本：922836?
(http://support.microsoft.com/kb/922836/en-us/
)
Microsoft及(或)其供應商不就任何在本伺服器上發表的文字資料及其相關圖表資訊的恰當性作任何承諾。所有文字資料及其相關圖表均以「現狀」供應，不負任何擔保責任。Microsoft及(或)其供應商謹此聲明，不負任何對與此資訊有關之擔保責任，包括關於適售性、適用於某一特定用途、權利或不侵權的明示或默示擔保責任。Microsoft及(或)其供應商無論如何不對因或與使用本伺服器上資訊或與資訊的實行有關而引起的契約、過失或其他侵權行為之訴訟中的特別的、間接的、衍生性的損害或任何因使用而喪失所導致的之損害、資料或利潤負任何責任。 | 其他資源 其他支援網站社群立即取得協助文章翻譯
|
回此頁最上方
