文档介绍：现在你已知道如何实施帐号的安全,并已建立了一个有效的认证机制,接下来将实施安全中访问控制部分。访问控制必须在两个地方实施,即本地和远程。文件可以由用户在本地访问或通过网络进行远程访问。本课将对这两种方法逐一进行测试。WindowsNT文件系统安全当建立文件的权限时,你必须先实现WindowsNT的文件系统(NTFS),当然你也可以使用FAT格式,但是并不支持文件级的权限。FAT只在那些相对来讲,对安全要求较低的情况下使用。即使NTFS也不能认为是能完全地保护文件的,这一点在稍后的实验中你将会看到。一旦已经实施了NTFS的文件系统格式,可通过WindowsNT的资源管理器直接来管理文件的安全。使用NT资源管理器你可为设置目录或文件的权限。基于文件级的权限你可以分配下面几种:读取(R),写入(W),执行(X),删除(D),改变(P),取得所有权(O)。详细请参照下表:NTFS权限基于目录基于文件读取(R)显示目录名,属性,所有者及权限显示文件数据,属性,所有者及权限写入(W)添加文件和目录,改变一个属性以及显示所有者和权限显示所有者和权限;改变文件的属性;在文件内加入数据执行(X)显示属性,可进入目录中的目录,显示所有者和权限显示文件属性,所有者和权限;如果是可执行文件可运行删除(D)可删除目录可删除文件改变权限(P)改变目录的权限改变文件的权限取得所有权(O)取得目录的所有权取得文件的所有权为了简化权限的管理,NT有几种有关权限的标准。通常在分配权限的时候,往往是组合使用权限而不是使用单独的权限,这些权限如下表保密标准权限基于目录基于文件不可访问无无列出RX不适用读取RXRX添加WX不适用添加和读取RWSRX更改RWXDRWXD完全控制ALLALL在这些权限的基础上,你可以达到根据需要来访问控制。但是确定什么是你需要的最小权限是困难的。回顾一下第一课我们所讲的一个新建立的NTFS分区默认情况下everyone组对其有完全控制的权限。这种标准是无法接受的,如果你不加选择的删除everyone组或在任何地方都把不可访问的权限赋予给everyone组,那么有可能会损坏你的NT安装。Everyone组必须可以访问主要的系统目录(比如登陆目录)来使用户能够连接和登陆到服务器上。因为用户在开始登陆的过程中还没有被认证,你必须使用everyone组提供访问以使他们能够被认证。赋予everyone组不可访问其实更危险,因为拒绝访问优先于允许访问,而且所有的用户都是属于everyone组的,这样也就等于完全阻止了对文件系统的访问。目录的权限分配和文件是一样的。目录的权限影响其目录中新建的文件。换句话说就是任何新建的文件将继承此目录的权限。磁盘分区因为操作系统目录的权限是非常严格的,把WindowsNT放置自己单独的分区内是个明智的选择。在这个分区上只安装WindowsNT而不安装应用程序使管理任务简单很多,一个磁盘分区可能会像下图这样。操作系统程序文件数据尽管这种分区需要额外地策划,但它还是很有吸引力,特别是简化了对于目录权限的管理。目录可以根据需要分开。如果你在运行一个设备如WEB服务器,你可能会考虑使用HTML,图像和其它一些静态文件在一个分区上,而你的脚本文件则放到另一个分区上。你可以将脚本设置成只可以执行那些静态文件可允许读取。这种策略的结果就是易于管理文件和目