windows源码分析14-权限管理篇.doc

在Windows操作系统中，权限管理是核心安全特性之一，它确保了不同用户和进程对系统资源的访问控制。本文档主要探讨了Windows权限管理的核心概念，包括访问控制列表（ACL）、安全标识符（SID）、令牌以及相关数据结构。 访问控制列表（ACL）是Windows权限管理的基础，它是一个记录了哪些用户或组可以对特定对象（如文件或内核对象）进行何种操作的列表。在Ntfs文件系统中，每个文件都有一个ACL，存储在文件的元数据中，持久化保存。相比之下，内核对象（如进程、线程、事件等）的ACL存储在对象本身的安全属性字段中，仅存在于内存，随着对象的销毁而消失。 安全标识符（SID）是用于唯一标识用户、组或计算机账户的标识符，由多个级别ID组成，包括一个签发机关（如SECURITY_NT_AUTHORITY代表NT域）和若干个子权威（SubAuthority）。预定义的SID，例如SECURITY_WORLD_SID_AUTHORITY，代表所有用户，而SECURITY_LOCAL_SID_AUTHORITY则代表本地计算机。 令牌是Windows系统中实现权限控制的关键实体。当用户登录系统时，系统会为该用户创建一个令牌，包含用户的身份信息（SID）、所属组的信息、权限等。每个进程都会有一个主令牌，子进程会继承父进程的令牌。令牌就像是进程的身份证，用于证明其访问权限。当进程试图访问对象时，系统会检查令牌中的权限信息，与对象的ACL进行对比，判断是否允许访问。 在Windows内核中，`_TOKEN`结构体定义了令牌的相关属性，如TokenSource表示令牌来源，TokenId是令牌的唯一标识，AuthenticationId代表认证标识，ParentTokenId是父令牌的ID，ExpirationTime是令牌的有效期限，UserAndGroupCount和RestrictedSidCount分别表示包含的用户和受限SID的数量。 此外，权限管理还包括了审计策略（AuditPolicy），用于定义哪些操作应被记录在安全日志中，以供后续审查和审计。权限检查的过程涉及到对这些数据结构的深入理解和高效处理，确保了系统的安全性与稳定性。 总结来说，Windows的权限管理系统通过ACL、SID和令牌实现了对用户和进程访问资源的精细控制。理解这些概念对于系统管理员和开发者来说至关重要，有助于构建安全的多用户环境，并防止未经授权的访问。