0 ?$ j, C$ O' u0 }2 C7 m. V7 j* f 在以前的Windows中，默认的权限许可将“完全控制”授予了Everyone组，整个文件系统根本没有安全性可言（就本地访问来说）。但从Windows XP Pro开始，这种情况改变了。 $ t$ \8 W: x& [# {0 w 4 P: H+ T% j* w+ { 授予Everyone组的根目录NTFS权限只有读取和执行，且这些权限只对根文件夹有效，请参见图1。也就是说，对于任何根目录下创建的子文件夹，Everyone组都不能继承这些权限。对于安全性要求更高的系统文件夹，例如Program Files和Windows文件夹，Everyone组也已经从ACL中排除出去。（说明：ACL即“访问控制列表”，或Access Control List，它是一种安全保护列表，适用于整个对象、对象属性组或某个对象个别属性。Windows Server 2003有两种访问控制列表类型：随机和系统）。 4 A8 Q1 _) r g
# z7 m( r8 M+ s8 L9 r 7 c# ]' c5 J$ l$ S, K; k7 m, w3 v# d8 x1 S5 x
9 s0 R5 a u2 X. T% l图1 ?# z4 I# k% k0 Y4 ^! q% o
0 |+ S3 W; E' j- b . z% [: k* H" J* {3 h" z Users组除了读取和运行之外，还能够在子文件夹下创建文件夹（可继承）和文件（注意，根驱动器除外）。授予System帐户的权限和本地Administrators组成员的权限仍未改变，它们仍拥有对根文件夹及其子文件夹的完全控制权限。CREATOR OWNER仍被授予子文件夹及其包含的文件的完全控制权限，也就是允许用户全面管理他们自己创建的子文件夹。 # U0 n. b! `9 c0 S4 V5 h
; c6 U: }. z8 ?
对于新创建的共享资源，Everyone现在只有读取的权限。 1 x+ h& B( n6 a( V. [& z0 o
' J3 m7 D/ f8 l0 ~1 x* u
另外，Everyone组现在不再包含匿名SID（安全标识符，一种不同长度的数据结构，用来识别用户、组和计算机帐户。网络上每一个初次创建的帐户都会收到一个唯一的 SID。Windows中的内部进程将引用帐户的SID而不是帐户的用户名或组名），进一步减少了未经授权访问文件系统的可能性。要快速查看文件或文件夹的NTFS权限，可以用右键点击文件或文件夹，选择“安全”选项卡，点击“高级”，然后查看“有效权限”页，如图2所示，不用再猜测或进行复杂的分析来了解继承的以及直接授予的NTFS权限。不过，这个功能还不能涵盖共享权限。 7 v# q% r+ J* E( |1 [' `& a* |% I8 m( a" w% n
! B% ~3 }2 d V$ z* L 6 I) |2 j( l' [) D; X: F4 ^% O( D9 b- r3 e, n9 x
图2 % B1 n! D ^/ b- m A5 k) p+ p' h, u9 z7 y! e' }. M3 S
0 X2 u, L" \; W4 ^1 Y二、文件和文件夹的所有权 0 s) S! L: c3 B2 h+ k6 J4 B ! f& r) k& b/ n7 i- S 现在，你不仅可以拥有文件系统对象（文件或文件夹）的所有者权限，而且还可以通过该文件或文件夹“高级安全设置”对话框的“所有者”选项卡将权限授予任何人，请参见图3。 5 s e$ s! l' |; a8 P. ~5 k+ s p! C5 D
5 z: |2 G3 e; P2 K9 V- N 身分验证方面的增强涵盖了基于本地系统的身份验证和基于活动目录域的身份验证。 9 a: T' t% W! }% S: P7 C" _4 s
& U/ V- d: ?/ V$ U" ^) N
在本地系统验证方面，默认的设置限制不带密码的本地帐户只能用于控制台。这就是说，不带密码的帐户将不能再用于远程系统的访问，例如驱动器映射、远程桌面/远程协助连接。 6 Q, c+ F+ y# P8 V. h# G Q5 ^$ c" N- r& i/ v6 f" D
活动目录验证的变化在跨越林的信任方面特别突出。跨越林的信任功能允许在林的根域之间创建基于Kerberos的信任关系（要求两个林都运行在Windows 2003功能级别上）。在 Windows Server 2003林中，管理员可创建一个林，将单个林范围外的双向传递性扩展到另外一个Windows Server 2003林中。在Windows Server 2003林中，这种跨越将两个断开连接的Windows Server 2003林链接起来建立单向或双向可传递信任关系。双向林信任用于在两个林中的每个域之间建立可传递的信任关系。 / y% W ?& B' b9 u4 D# T
5 L' C* g% Y5 j 林信任具有许多优点： & @7 ^2 R! R5 p$ e4 O, O1 F 2 T3 c) w# y8 _ ⑴ 通过减少共享资源所需的外部信任数，使得跨越两个 Windows Server 2003林的资源的管理得以简化。 t# w. h6 A, ?, ] 4 U8 A# ^) P$ E: F, p' l ⑵ 每个林中每个域之间的完全的双向信任关系。 ' ~: R+ l- E: b9 u+ j2 H
% M! C" L5 P& [) r
⑶ 使用跨越两个林的用户主体名称（UPN）身份验证。 3 ^8 V; s, z# V* v; p6 U, x* Z% Y- v% \
⑷ 使用Kerberos V5和NTLM身份验证协议，提高了林之间传递的授权数据的可信度。 % w* K7 O- L; p4 H% ?
' P$ v4 W4 V k* U8 Q$ A& C! v- B ⑸ 灵活的管理。每个林的管理任务可以是唯一的。 6 ~- \8 b1 b e& O0 N: | 4 h8 u0 ]/ ~) p, j; q! i8 b 林信任只能在两个林之间创建，不能隐式扩展到第三个林。也就是说，如果在林1和林2之间创建了一个林信任，在林2和林3之间也创建了一个林信任，则林1和林3之间没有隐式信任关系。 0 R/ ?) A- P" ]- C q$ N. _) Z" B* I6 ~# v3 A' O2 E3 k
注意：在Windows 2000林中，如果一个林中的用户需要访问另一个林中的资源，管理员可在两个域之间创建外部信任关系。外部信任可以是单向或双向的非传递信任，因此限制了信任路径扩展到其他域的能力。但在Windows Server 2003 Active Directory中，默认情况下，新的外部信任和林信任强制SID筛选。SID筛选用于防止可能试图将提升的用户权限授予其他用户帐户的恶意用户的攻击。强制SID筛选不会阻止同一林中的域迁移使用SID历史记录，而且也不会影响全局组的访问控制策略。 $ i; H9 \/ R+ v5 N
# P9 w7 G# t/ n9 c' S
在默认配置下，身分验证是在林的级别上进行的，来自其他林的责任人将被授予与本地用户和计算机同样的访问能力。但无论是谁，都受到设置在资源上的权限的约束。 X. g* A" E% w0 W2 F: I / }( J( f v. ~/ G- ]9 W3 K2 ] 如果上述默认配置不能满足要求，你可以配置选择性验证，不过这要有Windows 2003的林功能级别。在这种配置方式中，你可以指定哪些来自其他林的用户或组允许通过验证，以及选择本地林的哪些资源可用来执行验证。具体设置分两步进行。 - u6 z# p1 _/ V/ @5 Q9 Z }* l+ z( C2 ~+ c+ K
第一步是授予来自其他林的责任人允许验证的权限。例如，假设有两个Windows 2003功能级别的林ForestA和ForestB，两者之间有信任关系。ForestA中DomainA域的UserA用户需要访问ForestB中DomainB域ServerB服务器的ShareB共享资源。要达到这个目标，必须按如下方式操作： 2 e* a# |# a! f0 a7 o9 V7 N$ U j- ?5 s6 g) |! i. A. Q/ k
⑴ DomainA的管理员在DomainA域中创建一个全局组（例如GroupA），其中包含成员UserA。虽然可以直接授予UserA适当的权限（这种方式的优点之一是透明），但如果用户数量较多，直接配置各个用户的话效率就很低了。 . O' h8 D. c. r ' j# a+ @/ ?; R% v+ B# k. s: B ⑵ 启动Active Directory用户和计算机管理器，找到DomainB，再找到ServerB，双击ServerB的图标，打开它的属性对话框。 * O X( h. w) V$ `2 A L8 C
- ~ F& b) A. y' o& P" ^ ⑶ 转到安全设置页，将DomainA\GroupA加入到窗口上方的清单。在窗口下方，选中“允许验证”和“读取”权限的“允许”选项。第一步的设置到这里完成，我们已经允许DomainA\GroupA的成员访问DomainB\ServerB时执行验证。 ) y) l: M) r' C! m; D& D
! E/ P/ Z1 p! d0 n/ G 第二步很简单，只要把ServerB服务器ShareB共享资源上适当的权限授予DomainA\GroupA全局组即可（或者，也可以将DomainA\GroupA全局组加入到DomainB域本地组，然后对本地组授权）。 ! K- l) {; C3 \& v8 A
2 s A$ K( @9 F& h7 z" M 结束语：本文只涉及了Windows 2003安全性很小的一方面，许多重要的主题尚未涉及，例如Active Directory安全特性（SID过滤等），以及托管、非托管代码的应用程序代码控制等。尽管如此，我们已经可以体会到微软宣称的“迄今为止微软最强大的Windows服务器操作系统”确实在安全性方面作了许多改进。