Вот уткнулся тут в микропроблемку, решившуюся за минуту, но вдруг кто еще не знает. смотрите ролик =)))
Обратите внимание на адреса. Внимание, вопрос: как такое может быть? =)
Приза не будет. разве что кто-то из посетителей клуба или платформы знает ответ ;)
З.Ы. Сорри за качество – торопился =)
Мне не так давно (ага, годика пол назад ;) ) поступил вопрос от тогда еще совсем не MVP Александра Станкевича – частого участника посиделок у Паши Нагаева, теперь уже MVP и всегда хорошего человека и специалиста. Вопрос звучал как-то так: «а почему теперь на многих папках в Windows есть пары разрешений для одного и того же объекта и одного и того же участника безопасности?». Я долгое время не мог добраться до ответа, но, в процессе подготовки к выпуску своего поста об SDDL, который скоро опубликую, наткнулся на, как мне кажется, ответ.
Если говорить сначала о самом вопросе, то вот что имеется в виду:
Как видно, здесь есть две записи для каждого пользователя/группы. Если же заглянуть внутрь, то окажется, что одна предоставляет права на саму папку, а вторая уже описывает права на подобъекты и наследование этих прав
.
Собственно, это и есть ответ (IMHO) на поставленный вопрос: Двойная запись служит для разделения управления разрешениями собственно папки и ее содержимого. То есть одна запись описывает разрешения на саму папку, а вторая те разрешения, которые наследуют от нее дочерние объекты. Разница в данном конкретном случае такая:
Как видно, на саму папку не выдано право изменения подпапок, изменения разрешений и take ownership, в то время, как вторая запись, описывающая поддерево дает полный доступ. В чем плюс? Не дается лишних прав на подобъекты (или наоборот, на сами объекты), унифицируется работа с разрешениями, да и вообще удобнее, если уж приспичит поковырять там что-то. В общем, я, пожалуй, перейму и для себя – надо будет попробовать именно так выдавать пермиции.
В общем, мне кажется, что я ответил на вопрос (кстати, спасибо, Stanky, сам я внимания и не обратил ;) )
Еще на Платформе, кажется, да и на Запуске тоже, мне был задан неоднократно вопрос про то, как сделать работу с командной строкой более удобной и при этом не отключать UAC. Известно же, что для того, чтобы выполнить административное действие в командной строке нужно предварительно запустить эту "строку" с повышенными привилегиями. Иначе будет как всегда:
Так вот, в июньском номере журнала TechNet Magazine была статья Michael Murgolo, которая сводит воедино несколько инструментов, которые облегчат работу с повышением привилегий в Vista/Windows 2008.
Надеюсь, это кому-то поможет.
Да-да, я все же решил наступить на любимую мозоль IT сообщества. Такого количества нареканий не вызывала на моей памяти ни одна особенность ОС. Эпитеты даются от "великолепный" "ублюдочный" до "выключить его к чертовой бабушке". Самое проблематичное, что объяснить, как это работает, и каким образом Вас защищает без погружения в пучины океана сложные для любого непрограммиста рассуждения почти невозможно. Зато "неудобства" видны сразу, потому что как только мы пытаемся запустить приложение, которое написано без учета UAC, устаревшее приложение, некачественно написанное приложение или произвести административное действие - вот оно - UAC тут как тут. Однако сегодня можно привести понятный всем пример. Хотя и не удержусь, чтобы не проехаться по "неудобствам"
Если говорить о программах, то здесь все ясно - на самом деле нужно обращаться в поддержку программы и требовать версию, которая поддерживает UAC. В некоторых случаях, конечно, придется терпеть, потому что замены нет и не будет. Но таких случаев не так чтобы много.
Что касается административных действий... Я, как системный администратор даже не работе не так часто встречаюсь с необходимостью оных. Несколько инструментов у меня запущены весь день, остальные запускаются не так чтобы часто. Потому мне лично UAC просто помогает: нет необходимости производить дополнительные манипуляции, чтобы запустить нужные утилиты под учетной записью администратора (да-да, я работаю под обычным пользователем) - да здравствует легко и удобно применяемый принцип наименьших привилегий!!! =)
Однако вернемся, наконец, к тому, с чего я начал: сегодня мы можем показать наглядно, как нас может защитить UAC. Собственно, мне даже показывать ничего не придется, достаточно привести ссылку на статью в PCWorld, которая описывает результаты некоего теста, проведенного вполне уважаемой организацией - AVTest.org. В этом тесте вполне очевидно проявила себя состоятельность UAC (несмотря на то, что цель теста была совершенно иной - испытание anti rootkit средств). Мало того, что встать на Vista смогли только 6 руткитов из 30 (что, само по себе ни о чем не говорит - ну не выпустили пока достаточного количества руткитов для Vista - еще успеют), так эти шесть вредоносных комплексов еще и смогли быть установленными на Vista только после выключения UAC. Отсюда вывод - выключите UAC - снизите защиту. Думаю, что хоть теперь это достаточно очевидно =)
Если же кто-то заинтересуется непосредственно тем, которое из антизловредных программ лучше вправляется с руткитами - добро пожаловать для прочтения самого отчета.
Начнем, разнообразия ради, со второго метода. Тут все очень просто. Создадим, для примера, соединение "VPN_Connection". Введем пароль и пользователя, запомним их и, зайдя в параметры соединения. Там, на вкладке "Параметры" нужно снять галочки "Отображать ход подключения" и "Запрашивать имя, пароль, сертификат и т.д.".
Как нетрудно догадаться, эти нехитрые манипуляции позволяют нам сделать соединение устанавливаемым без излишних вопросов и прочих спецэффектов.
Теперь, собственно, нужно создать файлы, которыми мы будем стартовать соединение. Создадим папку c:\vpn и создадим там ярлык для этого соединения, скажем, для простоты "VPN_Connection.lnk". А теперь мы можем запускать этот ярлык как нам захочется:
1) можно поместить его в папку "Автозагрузка", тогда соединение, по идее, должно стартовать автоматически. Надо попробовать у себя дома, хтя я сомневаюсь, что на моем дохлом ноутбуке этот номер пройдет ;)
2) можно создать .bat файл следующего содержимого:
c:\vpn\vpn_connection.lnk
и запускать его откуда нам заблагорассудится.
3) наконец, можно создать какой-нибудь супер-пупер-мега-скрипт, в котором будет масса различных обработок ошибок и прочая безусловно нужная нам начинка. Я голосую за PowerShell. Там для этого можно использовать командлет
Invoke-Item c:\vpn\vpn_connection.lnk
А уж что прописывать в качестве дополнительных проверок и действий - решайте сами %)
Note: не забывайте брать в кавычки пулный путь к файлу, если он содержит пробелы. Как-то так, например:
Invoke-Item "c:\vpn Connection\Vpn Connection.lnk"
Теперь, поговорим о Demand Dial или Dial On Demand. Тут все еще проще. В дополнение к настройкам, произведенным во вкладке "Параметры" в начале разговора о предыдущем методе, нужно еще перейти на вкладку "Доступ" и поставить галочки "Разрешить другим пользователям сети использовать подключение к Интернету данного компьютера" и "Устанавливать подключение при попытке доступа к Интернету".
В этом случае при любой попытке выйти в интернет должно автоматически устанавливаться соединение с VPN сервером. Однако, если у Вас есть второй интерфейс, включенный в какую-нибудь сеть и Вы невзначай поставите, что пользователи этой второй сети могут пользоваться Вашим соединением, то
а) они действительно при желании смогут это сделать
б) есть риск "схлопотать по шее" от админа этой сети =)
Заключение:
Собственно, как видно, в этой области мало что поменялось со времен чуть ли не Windows 98, а то и более старых версий (память она только у компьютеров с каждым годом улучшается =) ). Настолько мало изменилось, что я был очень удивлен, вспомнив про еще один способ: команду rasdial, с которой, впрочем, предоставлю читателю возможность разобраться самому - должно же быть в жизни место подвигу ;)
Надеюсь, что ответил на вопрос заданный на Запуске и даже больше.
Забавно и поучительно, как мне кажется. Оказывается, новые Event ID из Security Event Log в Vista имеют свои аналоги в более ранних системах (что неудивительно), но отличаются от них по номеру Event ID ровно на 4096.
Зачем это было сделано написано вот тут. Если в кратце и на русском, то были сделаны большие изменения в содержимом этих events и нужно было отделить pre-Vista события от Vista-событий. А так как в исходном коде номера считаются в шестнадцатеричной системе, то и прибавили не 5000 и не 6000, а 0x1000=40196
