Модель распределенной безопасности Windows 2000
Модель безопасности в Windows 2000 построена на трех ключевых концепциях, которые обеспечивают надежную аутентификацию пользователей, защиту данных и контроль доступа к ресурсам.
- Доверенные пути между клиентами и контроллерами домена
Каждая рабочая станция и сервер имеют прямой доверенный путь (trust path) к контроллеру домена, членом которого является данная машина. Этот путь устанавливается службой NetLogon через аутентифицированное соединение RPC с контроллером домена. Также устанавливаются защищенные каналы для взаимодействия между доменами Windows NT с помощью междоменных доверительных отношений. Эти каналы используются для проверки информации безопасности, включая идентификаторы безопасности (Security Identifiers, SID) пользователей и групп. - Имперсонализация клиентов на серверах
Перед выполнением запрошенных операций сетевые службы используют механизм имперсонализации, который позволяет выполнять запросы от имени пользователя. Имперсонализация основывается на маркере доступа безопасности, созданном локальным администратором безопасности (Local Security Authority, LSA). Этот маркер представляет авторизацию клиента на сервере. Поток, соответствующий данному клиенту, выполняет операции в соответствии с его правами доступа, а не с правами сервера.
Имперсонализация поддерживается всеми службами Windows 2000, включая службу удаленного файлового сервера CIFS/SMB. Аутентифицированный RPC и DCOM также позволяют выполнять распределенные приложения от имени пользователя. Серверы семейства BackOffice, такие как Exchange Server, SNA Server и Internet Information Server, поддерживают имперсонализацию, что позволяет управлять доступом к ресурсам в сетевой среде. - Объектно-ориентированное управление доступом
Ядро Windows 2000 реализует модель управления доступом на основе сравнения SID в маркере безопасности пользователя с разрешениями, указанными в списке управления доступом (Access Control List, ACL) соответствующего объекта. В системе каждый объект (ключи реестра, файлы и каталоги NTFS, общие ресурсы, объекты ядра, очереди печати и т. д.) имеет свой ACL, который определяет, какие пользователи или группы могут получить доступ к объекту.
Проверка разрешений осуществляется при каждом запросе доступа, что гарантирует строгий контроль над ресурсами системы. Управление авторизацией выполняется централизованно посредством включения пользователей в группы Windows 2000, которым назначены соответствующие права.
Дополнительно Windows 2000 использует механизмы усиленной аутентификации, такие как открытые ключи и протоколы SSL/TLS и Kerberos версии 5, которые интегрированы в систему безопасности и обеспечивают защищенную передачу данных.
Эти три компонента составляют основу модели распределенной безопасности Windows 2000, обеспечивая высокий уровень защиты данных и удобство администрирования корпоративных сетей.