Dateizugriffsrechte neu gedacht

Die Verwaltung von Zugriffsrechten über Access Control Lists (ACLs) ist oft unübersichtlich. Nicht selten wird für jedes kleine Projekt eine neue Sicherheitsgruppe eingerichtet und nie wieder gelöscht. So verwaltet Microsoft in seinem eigenen Unternehmensnetz mit rund 90.000 Mitarbeitern rund eine Million Sicherheitsgruppen. Im Rahmen einer Prüfung nachzuweisen, wer auf welche Datei Zugriff hat, wäre mit extremem Aufwand verbunden.

Stellenmarkt
  1. Business Analyst (m/w/d) Business Intelligence (BI) - Telekommunikation
    Glasfaser Direkt GmbH, Köln
  2. HR-Projektkoordinatorin / Referentin (w/m/d)
    Deutsche Sporthochschule Köln, Köln
Detailsuche

Mit dem Windows Server 8 führt Microsoft daher ein komplett neues Konzept zur Verwaltung von Zugriffsrechten ein: Statt auf ACLs basiert es auf Tags.

Tags statt ACLs

Auf der einen Seite kann jede Datei mit Tags wie "File.Department=Finanzen" oder "File.Impact=High" versehen werden. Auf der anderen Seite werden auch Nutzern über sogenannte User-Claims Tags zugeordnet, beispielsweise "User.Department=Finanzen" oder "User.Clearance=High". Gleiches gilt für Geräte, denen über sogenannte Device-Claims Tags wie "Device.Managed=True" zugeordnet werden können.

Im Active Directory können nun zentrale Zugriffsregeln festgelegt werden, um den Zugriff auf Dateien zu regeln. Dabei ist es möglich, beliebige logische Verknüpfungen zu verwenden. Eine Regel könnte beispielsweise wie folgt aussehen:

Allow Read|Write: User.MemberOff(IPSecurityGroup)
AND
(User:Department ANY_OF File.Department)
AND
Device.Managed == TRUE

Golem Karrierewelt
  1. Azure und AWS Cloudnutzung absichern: virtueller Zwei-Tage-Workshop
    22./23.09.2022, virtuell
  2. IT-Sicherheit für Webentwickler: virtueller Zwei-Tage-Workshop
    14./15.06.2022, Virtuell
Weitere IT-Trainings

Diese Regeln steuern dann den Zugriff auf alle Dateien in allen Repositories, unabhängig davon, wo sie liegen. Versucht ein Nutzer, auf eine Datei zuzugreifen, für die ihm die Rechte fehlen, bietet ihm das System die Möglichkeit, sich direkt an den Administrator zu wenden. Dieser kann dann die Rolle des Nutzers einnehmen, um herauszufinden, warum dieser keinen Zugriff hat, und das Problem lösen.

Die Tags kann der Besitzer einer Datei festlegen, aber auch der Administrator des File-Servers kann dafür sorgen, dass Dateien nach bestimmten Regeln getaggt werden. So ist es möglich, alle Dateien, die in das Share Finanzen verschoben werden, mit dem Tag File.Department=Finanzen zu versehen.

Zudem können Dateien anhand ihres Inhaltes automatisch getaggt werden. So kann festgelegt werden, dass bei jeder Datei, die eine Kreditkartennummer enthält, das Tag File.Impact=High gesetzt wird. Dann können nur der Besitzer und der Administrator darauf zugreifen, wobei der Zugriff für den Administrator über Regeln auch unterbunden werden kann. Zudem kann festgelegt werden, dass Dateien den Server nur mit RMS-Verschlüsselung (Rights Management Services) verlassen dürfen.

Die mit dem Windows Server 2008 R2 eingeführte Funktion, Dateien anhand ihres Inhalts zu erkennen, läuft in Windows Server 8 automatisch im Hintergrund. Neue Dateien können so innerhalb weniger Sekunden getaggt werden. Sobald ein Tag gesetzt ist, ist die Datei entsprechend geschützt. Diese Zeitverzögerung gilt aber nur für das automatische Content-Tagging, das automatische Tagging anhand des Shares, in das eine Datei kopiert wird, greift sofort.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
 Daten-Deduplikation und Storage-VirtualisierungInternet Information Services (IIS) 
  1.  
  2. 1
  3. 2
  4. 3
  5. 4
  6. 5
  7. 6
  8. 7
  9. 8
  10. 9
  11.  


Oldschooler 07. Jul 2012

Der große Unterschied zwischen GUI und Shell sind nicht die Befehle oder Möglichkeiten...

antidose 22. Sep 2011

Da muss ich dir leider widersprechen, zfs ist ein 128 bit Filesystem, das ist richtige...

Sharra 21. Sep 2011

Denn Fenster hat das Ding ja dann nicht mehr oder?

kendon 19. Sep 2011

es geht um die shell. ist es denn mittlerweile sogar zuviel verlangt dass man den titel...



Aktuell auf der Startseite von Golem.de
Prehistoric Planet
Danke, Apple, für so grandiose Dinosaurier!

Musik von Hans Zimmer, dazu David Attenborough als Sprecher: Apples Prehistoric Planet hat einen Kindheitstraum zum Leben erweckt.
Ein IMHO von Marc Sauter

Prehistoric Planet: Danke, Apple, für so grandiose Dinosaurier!
Artikel
  1. Bluetooth-Tracker: Airtag-Firmware lässt sich komplett austauschen
    Bluetooth-Tracker
    Airtag-Firmware lässt sich komplett austauschen

    Die Apple Airtags lassen sich nicht nur klonen. Forscher können auch beliebige Sounds auf dem Bluetooth-Tracker abspielen.

  2. Retro Gaming: Wie man einen Emulator programmiert
    Retro Gaming
    Wie man einen Emulator programmiert

    Warum nicht mal selbst einen Emulator programmieren? Das ist lehrreich und macht Spaß - wenn er funktioniert. Wie es geht, zeigen wir am Gameboy.
    Von Johannes Hiltscher

  3. Netzausbau: Bundesländer wollen dreifach höhere Datenrate
    Netzausbau
    Bundesländer wollen dreifach höhere Datenrate

    Der Bundesrat dürfte dem Recht auf schnelles Internet, wie es die Bundesregierung vorsieht, nicht zustimmen. Die Festlegungen seien "unterambitioniert und nicht zeitgerecht".

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Prime Video: Filme leihen für 0,99€ • Gigabyte RTX 3080 12GB günstig wie nie: 1.024€ • MSI Gaming-Monitor 32" 4K UHD günstig wie nie: 999€ • Mindstar (u. a. AMD Ryzen 5 5600 179€, Palit RTX 3070 GamingPro 669€) • Days of Play (u. a. PS5-Controller 49,99€) [Werbung]
    •  /