in115 bruksrett brukeradm

problemstilling objekter/ressurser som skal beskyttes mot misbruk brukere som har behov for tilgang til disse ressurser, som har bruksrett brukere og ressurser atskilles av tilgangskontroll

tilgangskontroll henvendelse: –klient K spør om å få bruke funksjon/metode T hos objekt O – vedlegger legitimasjon autentisering: –sjekker legitimasjon til K. –hvis autentisering feiler: returner passende feilkode tilgangskontroll: –basert på O’s tilgangsliste –hvis K ikke har tilgang til T hos O: returner feilkode

brukere brukerkonto tildeles hver –sluttbruker som er med i produksjon –administrativt ansatt, –program attributt –unikt navn og ID, –legitimasjonsdata navn og legitimasjonsdata bør være hemmelig, da kontoer er utsatt for gjetningsangrep – i praksis er navn velkjent, legitimasjonsdata skjult

grupper en gruppe er en liste med brukere og andre grupper; gruppeattributt: –unikt navn og ID, tekstlig beskrivelse –legitimasjonsdata, brukskvoter, pris m.m. en kan ikke logge seg inn som gruppe bruksrett avgjøres delvis basert på gruppetilhørighet tildeling og fjerning av bruksrett forenkles når en benytter grupper istedetfor mange brukere

identitet bruker og gruppe har unik ID som ikke resirkuleres: ny konto med samme navn som en tidligere fjernet konto, får ny ID når bruker er innlogget vil hans sesjonsbestyrer ha en eieridentitet som inkluderer brukerID og alle gruppeID der han er medlem eieridentitet bygges ved innlogging, som kan ta lang tid for brukere som er med i mange grupper eieridentitet arves under sesjonen, benyttes av prosessene ved legitimering opp mot ulike tjenere

brukerrelatert info adresse/kontaktregister (ID, kontaktinfo) innloggingsrelatert –brukers ”hjemmeområde” (monteres) –sesjonsbestyrer, ”profil” (utseende desktop) –”kontopolitikk” (tid, passord, sted, utelukkelse) –innloggings/utloggings-program ressurskvoter, prislister

lokale vs sentrale konti hver maskin har eget register med lokale brukere og grupper –en kan logge seg inn på lokal konto, –nyttig hvis domenekontroller er utilgjengelig – en får imidlertid ikke tilgang til domenets ressurser domenekontrollers sentrale register over domenets brukere og grupper –ved innlogging autentiseres en av domenekontroller –etter innlogging har bruker tilgang til domenets ressurser

maskin vs domene maskinens domeneliste: liste over domener der maskinen er medlem (0, 1 eller flere) maskinens administrator ber domenets administrator (ofte samme person) om tillatelse til innmelding ved innlogging må bruker si hvilket domene han ønsker å logge seg inn på –lokalt: maskinen han sitter ved – : valg fra maskinens domeneliste

oversikt og kontroll kontoer og grupper –noen opprettes automatisk, andre opprettes manuelt –innmelding av brukere i grupper skjer delvis automatisk (faste og dynamiske), delvis manuelt ressurser –hva er tilgangslisten: Hvem får utføre de ulike funksjoner/metoder som ressursen tilbyr? –vit hva som er default tilgangsliste!!! –gi tilgang kun der det er legitimt bruksbehov, –tilgangsendring skjer helst ved å endre gruppemedlemsskap, ikke ved å endre tilgangsliste

lokale automatiske brukere (w2k) ved installeringen av os –Administrator, har alle rettigheter –Guest, installert, men ikke aktivert –LocalSystem, brukes av enkelte bakgrunnsprosesser ved installering av tjenerprogramvare –f.eks. IUSR_ : opprettes ved installering av Internet Information Server (IIS) –når IIS startes, f.eks. ved boot, opprettes en prosess som får eieridentifikasjon tilsvarende IUSR_ –alle henvendelser som IIS skal betjene, skjer ut fra denne prosessen

superbruker er den eneste som os gir alle rettigheter er nødvendig – installeres samtidig med os gjør hva han vil med tildeling av bruksrett og gruppesammensetning i lokal maskin blir medlem av lokal superbruker-gruppe andre brukere kan etter behov innlemmes i superbrukergruppen – anbefales ikke.

w2k: Superbruker er konto Administrator, gruppen er Administrators unix: Superbruker er konto root (brukerID 0)

lokale autolagede grupper (w2k) Administrators Power users ( Users) Users (vanlige brukerkonti) Guests (anbefales ikke brukt) ”operatører”, initielt tomme grupper –Account operator –Backup operators –Print operators –Replicator –Server operators

implisitte identiterer brukere –Anonymous Login –Authenticated Users –Dialup –Interactive –Batch –Network –Proxy –Terminal Server User –Restricted –Everyone (alle brukere) –Creator Group –Creator Owner maskiner –Enterprise Domain Controllers –Domain Controllers –Domain Computers

domener domener organiseres i et domenetre et domene har –undersotter: maskiner og underdomener –naboer: andre domener domenekontroller er en server som promoteres – medfører installasjon av Active Directory (AD) programvare

domenegrupper noen er autoinst. med AD –Domain Admins (G), Enterprise Admins (G/U) –Domain Comp. (G), Domain Controllers (G) –Domain Guests (G), Domain Users (G) omfangstype avgjør medlemsmasse –universelle: fra alle domener –globale: fra samme domene

capabilities (lokal, domene) privileges: administrative funksjoner login rights: typer login som er tillatt built-in: administrative funksjoner administrator bestemmer hvilke grupper som skal tildeles de (100-vis) av rettigheter som w2k har definert – d.v.s. utover det som er satt opp som standard

politikk, ulike former bruker innbefattes av flere, prioritering: –site policy, unit policy: gjelder domenet –local policy – for maskin –account policy – gjelder brukerkonto effective policy: den politikk som har blitt iverksatt etter prioritering –passord (kompleksitet, historie, endringskrav) –utelukkelse –Kerberos (gyldighet billett, klokkesynkronisering)