Проблема состоит в наследование прав доступа
Механизм делегирования полномочий гибок и удобен,однако он не эффекти-
вен при назначении одинаковых прав доступа к большому числу объектов.Б
этом случае главную роль играют механизмы наследования прав доступа.Любой объект в контейнере мокет наследовать права доступа,установленные
для контейнера.
Рассмотрим это правило внимательнее.Объект может наследовать права дос-
тупа.А может и не наследовать.Отчего это зависит?В первую очередь от того,
оговорено ли отдельно,что данный конкретный объект не наследует прав
доступа к контейнеру.Во вторую очередь наследование определяется тем,как
именно передаются права доступа к контейнерному объекту его содержимому.
Вариантов передачи наследования несколько:
права доступа не передаются вложенным объектам;
права доступа передаются только листьевым объектам внутри контейнера;
права доступа передаются только контейнерным объектам внутри контейнера;
права доступа передаются всем объектам внутри контейнера;
права доступа передаются только отдельным объектам внутри контейнера.
В последнем случае наследования список объектов зависит от типа родительс-
кого контейнера.
Механизм наследования достаточно гибок,однако для правильного его исполь-
зования надо тщательно планировать доступ к объектам,чтобы потом у Вас не
возникало проблем с его переопределением.
Результирующие права доступа
Помимо установления полномочий доступа посредством механизма наследо-
вания,можно использовать явное определение прав.Для каждого конкретного
объекта можно дополнительно задать набор полномочий.Какой же эффектив-
ный набор мы получим в итоге?В данном случае используются такие правила:
+сначала рассматриваются явные разрешения,затем — унаследованные:
*запрещения имеют приоритет над разрешениями (т.е.строки запреще-
ний стоят первыми в списке контроля доступа к объекту);
*список контроля доступа просматривается до первой строки,содержащей
нужный SID;все разрешения или запрещения,после этой строки не рас-
сматриваются.
