Windows Server 2003全接触(3)

　　每当你安装一项新的服务时，系统会静待你运行一个向导来启用该功能。对！微软最终关闭了系统中的所有服务，你必须在需要时启动它。但别担心，它还不至于像Linux那样复杂。尽管每项功能都被关得死死的，但伴随新安全架构应运而生的新向导对用户十分有帮助，详细得可以明确地了解用户所需的操作。如此一来，在对系统进行安全设置时，你可以减少很多顾虑。我记得当年在操练Windows 2000新的安全特性时，要参考很多资料才下得了手。而Windows 2000已经算好了，Windows NT 4中的“信息VOID”更令人不敢恭维。但当你使用2003之后，你就轻松许多了！

　　让我先来介绍一个简单而好用的新特性——有效权限（Effective Permission）。

　　“有效权限”将总结出用户在某一对象上具有什么样的权限。该对象建立在所有和它的ACL（当用户及所有的用户组成员设置被应用时）相适应的安全设置的基础上。简单点说，当你进入2003中一个对象的的属性时，选择“安全”标签并点击“高级”按钮。你将会看到三个标签：权限（Permissions）、所有人（Owner）和“有效权限”。前两个是通用的，它们会被暂时选定。如果你进入“有效权限”标签，你可以对用户或组进行选择。当你选择了一个组或用户时，Windows将会分析对象可能被放置的所有次级组，并提供“有效权限”信息的一个精确摘要。

　　信任机制（Trust）：

　　Windows Server 2003的“信任”同Windows 2000很相似。就如在Windows 2000中一样，2003中所有网域的信任具有传递性的特点。假如你的网络中有三个网域：网域A、B和C。如果A信任B，而B信任C，那么A也信任C。

　　Windows Server 2003中新添加的功能有“Forest Trust”，它允许Forest与Forest之间的相互信任。这有什么作用呢？有了Forest Trust，你就再也不必在不同Forest的网域中建立信任，可以大大减少网络混乱以及人为错误所带来的潜在危险。另外，如果在网域的后端节点上添加一个网域时，该网域无需进一步设置就可以访问其他Forset中的资源。但Windows 2003中的Forest Trust在不同的Forest中并不具备传递性。

　　Windows 2003同时还带有一个经过完全重新编写的IIS。IIS 6.0具有一系列全新特性，这将在本文的第七部分进行探讨。Windows 2003还建立了Common Language Runtime（CLR）。你可以要求CLR做什么呢？它可以核实软件是否可以在无错状态下运行，也可以核实是否具有适当的安全权限。“系统策略”（System Policies）也同样经过了重写，减少了Windows缺省安装下所运行的服务项目（共19个），同时还有多顶服务以更低的权限运行。
　　“文件系统安全”（File System Security）被大幅度降低，用户再也不能向驱动器的根目录写入数据。微软还计划在今年底之前陆续发布几个新的公用程序，给管理员提供对其网络的更多控制权。比如，MACS。MACS是Microsoft Audit Collection Services——“微软稽核集合服务”的简称。据我的了解，这个程序预计可以通过一些加密方法将“安全信息”导入一个SQL数据库中，信息也可以从多台服务器中被收集到该位置。

　　让我们来了解一下Windows Server 2003中在“稽核”所作的增强。首先来看一看基于作业的“稽核”。Windows Server 2003支持一种新稽核类型，它不只告知用户什么人访问了什么文件，同时还显示某人在访问文件时所作的操作。Windows Server 2003还可以对各个用户有选择性地进行稽核。用户可以稽核特定用户的行为，而不再是简单的系统级别的稽核。

　　接着来看看“文件加密”（File Encryption）。还记得人们对2000加密问题的抱怨吗？如果有一位用户试图加密2000中的一个文件，那么它就是可以访问该文件的唯一用户。现在，2003支持文件的多用户加密。同时，离线文件夹可以以离线状态加密。

　　微软在相关主题的白皮书中提到了一些策略改变。以下是一些摘要：
　　
　　1、改变策略以巩固默认安全性：

　　·创建安全根ACL：增强型的ACL防止对根目录（c:\）的访问；

　　·把默认的共享ACL从“Everyone:F”更改为“Everyone:R”；

　　·更改DLL搜索顺序：从系统文件夹开始；

　　·巩固Internet Explorer；

　　·增加对匿名用户的限制：匿名用户在缺省状态下不再是“Everyone”成员，禁用在服务器上生成匿名SID和名称；

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有