en översikt Användarkonton i Windows-familjen Användarkonton i Windows NT Workstation och Windows NT Server

Transkript

1 5 Användarkonton, grupper, användarrättigheter och behörigheter: en översikt Användarkonton, användargrupper, användarrättigheter, lokala behörigheter och delningsbehörigheter är det som, för mig, utgör kärnan i den dagliga administrationen i ett nätverk. Nya användarkonton skall upprättas, människor byter namn vilket gör att deras konton skall byta namn, nya projektgrupper bildas vilka skall ha tillgång till gemensamma filer på servrar, en medarbetare befordras och skall därmed ges utökade privilegier i nätverket, o.s.v. Användarkonton i Windows-familjen Alla medlemmar av Windows-familjen har ett viss begrepp om användarkonton på så sätt att alla kan användas som klienter i en Windows NT-domän (LAN Manager-domän) eller i ett NetWare-nätverk. Det som är olika är om användarkontona finns på datorn självt eller centralt på en server och vilka möjligheter det finns att använda datorn utan användarkonto. Användarkonton i Windows NT Workstation och Windows NT Server Den som vill använda en Windows NT-dator måste alltid uppge ett kontonamn och tillhörande lösenord vid inloggning, oavsett om Windows NT-datorn är med i en datorarbetsgrupp eller i en Windows NT-domän. Detta beteende är Windows NT ensamt om i Windows-familjen. I en datorarbetsgrupp finns användarkontot på den egna 167

2 5 Användarkonton, grupper, användarrättigheter och behörigheter: en översikt (lokala) datorn, i en Windows NT-domän finns användarkontots uppgifter på en utvald server (med möjlighet att ha kopior på andra utvalda servrar). En nyinstallerad Windows NT-dator innehåller alltid två konton: q Administratör//Administrator q Gäst//Guest (Windows NT 3.51 innehåller ett tredje konto som upprättas vid installation.) Användarkonton i Windows 95/98 Användarkonton i Windows 95/98 kan användas om man vill. Har man inte lust att logga in till den egna datorn behöver man bara trycka på knappen Escape för ändå kunna använda datorn. Finurligt nog har Microsoft gjort så att man inte kan använda nätverket i Windows 95/98 utan att logga in. I en datorarbetsgrupp finns användarkontot på den egna datorn. Skulle datorn användas i en Windows NT-domän kan man enkelt använda sitt domänkonto för att logga in till domänen från en Windows 95/98-dator. I en Windows NT-domän kan man ordna en Windows 95/98-dator så att man måste logga in till domänen för att kunna använda datorn. Användarkonton i Windows för Workgroups I Windows för Workgroups fungerar användarkonton i stort på samma sätt som i Windows 95/98. I en datorarbetsgrupp finns användarkontot på den egna datorn. Skulle datorn användas i en Windows NT-domän kan man enkelt använda sitt domänkonto för att logga in till domänen från en Windows för Workgroups-dator. I en Windows NT-domän kan man ordna en Windows för Workgroups-dator så att man måste logga in till domänen för att kunna använda datorn med hjälp av programmet AdminCfg.Exe (vilket följer med Windows för Workgroups). Vad är ett användarkonto Ett användarkonto består minst av ett kontonamn och tillhörande lösenord. Kontonamnet är begränsat till sin längd och det van- 168

3 Vad är ett användarkonto ligaste är att man inte använder personers namn som kontonamn utan en förkortning (många använder förnamnet och första bokstaven i efternamnet, men det finns flera sätt, läs mer i kapitel 20. Användarkonton i en Windows NT-domän Användarkonton i en Windows NT-domän innehåller denna information (bland annat): Egenskap Kontonamn Fullständigt namn Beskrivning Lösenord Beskrivning Upp till 20 tecken. Kontonamnet uppges vid inloggning, när konton görs till medlemmar av grupper och all annan hantering. Personens eget namn (för- och efternamn). Visas som ren information. Ytterligare beskrivning av användaren. Upp till 14 tecken. För användaren är det endast kontonamnet och lösenordet som är viktiga. De används alltid tillsammans med namnet på den domän i vilket kontot är upprättat (Windows NT-domäner kan kopplas samman). Det viktigaste för Windows NT är inte namnet utan kontots Security Identifier, SID Närhelst Windows NT använder ett konto är det inte kontots namn som lagras (ex. i gruppmedlemskap) utan kontots SID (Security Identifier). SID kan ses som ett löpnummer vilket aldrig upprepas (tänk dig gammaldags kölappar, fast en rulle som innehåller 4 miljarder kölappar). Varje konto och grupp som upprättas får en egen kölapp med ett eget nummer, skiljt från alla andra kölappars nummer. När ett konto/grupp tas bort slängs just den kölappen för att aldrig mer användas. Detta gör att två konton/grupper aldrig får samma SID även om ett nytt konto/ny grupp får samma namn som ett konto/en grupp man tidigare tagit bort. 169

4 5 Användarkonton, grupper, användarrättigheter och behörigheter: en översikt Verktyg för att hantera användarkonton i Windows NT-domäner I en Windows NT-domän är det Kontohanteraren för domäner/ /User Manager for Domains som användas för att upprätta, ändra och ta bort användarkonton. Domäninloggning ger användaren ett nyckelkort (Access Token) Vid all inloggning till Windows NT-datorer och även vid domäninloggning upprättas ett nyckelkort (eng. Access Token) för användaren. När ett nyckelkort upprättas förses det med en hel del uppgifter av den inloggande datorn (vid domäninloggning är det alltid en domänkontrollant som förser användaren med ett nyckelkort). Vid domäninloggning förses nyckelkortet med dessa uppgifter: q Användarkontots unika märkningsnummer, SID q Globala grupper som kontot är medlem av (gruppernas SID) q Lokala grupper som kontot är medlem av (gruppernas SID) q Specialgrupper som kontot är medlem av (gruppernas SID) q Uppgift om de användarrättigheter kontot tilldelats (direkt eller genom gruppmedlemskap) q Vilket konto som kommer att anges som ägarinna till nya mappar/filer på NTFS som kontot upprättar (oftast kontot självt) q med mera Nyckelkortet bär sedan användaren med sig under hela den tid hon är inloggad. Närhelst hon försöker nå en resurs på en Windows NT-dator (även den hon sitter vid) visas nyckelkortet fram för att jämföras med behörighetslistan för resursen. Märk att uppgift om gruppmedlemskap gäller för nyckelkortet under hela den tid hon är inloggad. Skulle något medlemskap ändras kommer detta inte att märkas förrän hon loggar ut och nästa gång loggar in igen för att få ett nytt nyckelkort. Detta kan ställa till med en del förtret när en användare ringer en administratör med ett behörighetsproblem. Administratören löser problemet genom att göra användarens konto till medlem i en ny grupp, men ingenting händer förrän användaren loggar ut och sedan in igen. Administratören kan då använda Serverhanteraren/ 170

5 Användargrupper i Windows NT-domäner /Server Manager för att logga ut användaren från (avsluta hennes session med) den aktuella servern (se kapitel 13). Bland den övriga informationen på nyckelkortet finner vi några intressanta uppgifter. Vi ser bland andra uppgift om giltighetstid och kvota (DynamicCharged, DynamicAvailable). De används inte i Windows NT 4.0 och jag skulle gissa att det hela blir annorlunda i Windows NT 5.0 (vi får se). Användargrupper i Windows NT-domäner Användargrupper finns endast på Windows NT-datorer. Användargrupper är enkla att förstå eftersom de har stora likheter med grupper i en organisation: de är helt enkelt ett sätt att gruppera användarkonton. Det finns tre olika typer av grupper i en Windows NT-domän: lokala grupper, globala grupper och specialgrupper. Globala grupper används för att bilda grupper av användarkonton. Lokala och specialgrupper används (även globala grupper) för att tilldelas behörigheter till olika resurser (delade skrivare, delade mappar). Microsoft bjuder på ett antal grupper Globala grupper I en nyinstallerad Windows NT-domän finns det tre globala grupper: q Domänadministratörer//Domain Admins q Domänanvändare//Domain Users q Domängäster//Domain Guests Lokala grupper En nyinstallerad Windows NT-dator innehåller alltid ett antal av Microsoft tillhandahållna lokala grupper, viktigast bland dem är: q Administratörer//Administrators q Användare//Users q Gäster//Guests 171

6 5 Användarkonton, grupper, användarrättigheter och behörigheter: en översikt Specialgrupper Det finns en handfull specialgrupper, viktigast bland dem är: q Alla//Everyone q Skapare ägare//creator Owner Verktyg för att hantera användargrupper i Windows NT I en Windows NT-domän är det Kontohanteraren för domäner/ /User Manager for Domains som användas för att upprätta, ändra och ta bort användargrupper. Skillnad mellan lokala grupper globala grupper och specialgrupper Det finns både likheter och skillnader mellan lokala grupper, globala grupper och specialgrupper. Tabellen nedan sammanfattar några av de viktigaste skillnaderna. Egenskap Lokal Grupptyp Global Special Administratörer kan styra C C D medlemskap i gruppen Samma grupp kan användas på D C C alla Windows NT-datorer i en Windows NT-domän Samma grupp kan användas D C C i en sammankopplad Windows NT-domän Kan användas på Windows 95/98 D C D Administratörer kan C C D upprätta nya grupper Användarrättigheter//User Rights i Windows NT Användarrättigheter//User Rights är en samling privilegier som styr olika områden av Windows NT-hantering. Med användar- 172

7 Behörighet i allmänhet rättigheter kan en administratör styra: q Vem som får ändra datum och tid på en Windows NT-dator q Vem som får använda datorn för att logga in (använda själva datorn, dess tangentbord, o.s.v.) q Vem som kan nå datorn via nätverket q Vem som tillåts säkerhetskopiera mappar och filer på datorn q Vem som får återställa mappar/filer från en säkerhetskopia Det finns fler användarrättigheter än dessa, du kan läsa mer om dem i kapitel 24. När man tilldelar användarrättigheter//user Rights gör man det till användargrupper samma användargrupper som nämnts tidigare. Verktyg för att hantera användarrättigheter//user Rights i Windows NT Du använder Kontohanteraren//User Manager (på Windows NT Workstation) eller Kontohanteraren för domäner//user Manager for Domains (på domänkontrollanter i en Windows NT-domän) för att dela ut och dra in användarrättigheter. Menyvalet heter Principer.Användarrättigheter//Policies.User Rights. Behörighet i allmänhet Behörigheter anger på vilket sätt som en användare får tillgång till mappar, filer och Registret//Registry (lokalt på en dator) samt till utdelade resurser i form av mappar, skrivare (skrivarbehörigheter intar en mellanställning), named pipes och även Registret//Registry över nätverket. Åtkomst innebär i detta fall möjlighet att läsa innehållet i en fil, lägga till nya filer till en befintlig mapp, möjlighet att upprätta undermappar i en befintlig mapp; läsa olika delar av Registret//Registry, göra nya undernycklar i Registret//Registry; ta bort utskriftsuppdrag från en skrivare, m.m. Vi ser behörigheter på fyra olika ställen i Windows NT Behörigheter och säkerhet genomsyrar Windows NT, men blir tydligast inom fyra områden: 173

8 5 Användarkonton, grupper, användarrättigheter och behörigheter: en översikt q Lokal behörighet//local security för mappar och filer q Delningsbehörighet//share permissions för utdelade mappar (och därmed filer i dem) q Behörigheter till skrivare (skrivarköer) och utskrifter q Behörighet till olika delar av Registret//Registry Det är administratörens uppgift att åsätta behörigheter för mappar, filer och Registret//Registry (lokalt) och för utdelade resurser (mapp eller skrivare). Behörigheter styrs med behörighetslistor (Access Control Lists, ACL) genom att en behörighetslista omfattar behörighetsposter (Access Control Entry, ACE). Varje behörighetspost anger ett konto/en grupp och vilken behörighet som tilldelats kontot/gruppen (eller om behörighet nekats kontot/gruppen med den särskilda behörigheten Ingen behörighet//no Access). Behörigheter finns på flera ställen Säkerhet fanns med på ritbordet från början när Windows NT skapades det är inget som Microsoft lagt till i efterhand utan en del av grunden och kärnan. Utöver de fyra områdena ovan styrs det mesta i Windows NT av behörigheter, utan att vi är medvetna om det. Dessa områden omfattar, bl.a: q Objekt för att synkronisera programdelar (semaforer och event) q Programdelarna själva: processer och trådar i processer q Minnesområden Gemensamt för dessa är att vi inte ser dem lika tydligt som de fyra ovan och att de mycket mer är en angelägenhet för dem som skriver program för Windows NT än för dem som administrerar det. Grundbehörigheter Grundbehörigheterna kan sägas vara dessa: q Ingen behörighet//no Access q Läsa//Read q Exekvera [Köra]//Execute N R X 174

9 Behörighet i allmänhet q Skriva//Write q Ta bort//delete q File Delete Child F (En liten varning: File Delete Child har ingen vedertagen förkortning, jag har hittat på F själv.) q Ändra behörighet//change Permissions q Bli ägare//take Ownership Grundbehörighet Förkortning Innebörd Ingen behörighet/- N Ingen som helst åtkomst till /No Access objektet Läsa//Read R Objektets innehåll kan läsas och därmed kopieras Exekvera [Köra]/- X Objektet kan köras (i vid /Execute mening) Skriva//Write W Innehållet kan ändras Ta bort//delete D Objektet kan tas bort File Delete Child F Filer i en mapp kan tas bort under vissa villkor denna behörighet är mycket speciell enär den inte kan hanteras av administratörer. Ändra behörighet/- P Behörighetslistan kan ändras, /Change Permissions d.v.s. man kan ta bort åsatta behörigheter och lägga till nya Bli ägare/- O Objektets ägarinna kan ändras /Take Ownership (genom att någon tar över ägandet) Behörigheter sparas i behörighetslistor//access control lists, ACL När man åsätter behörigheter sparas inställningarna i behörighetslistor//access control lists, ACL. För resurser utdelade till nätverksanvändare finns behörighetslistan i Registret//Registry i nyckeln: W D P O 175

10 5 Användarkonton, grupper, användarrättigheter och behörigheter: en översikt HKey_Local_Machine\ System\ CurrentControlSet\ Services\ LanmanServer\ Shares\ Security\ På NTFS-volymer lagras behörighetslistan för mappar och filer tillsammans med mappen/filen (behörighetslistan för lokal behörighet är ett attribut bland andra). (Detta kommer kanske att ändras till Windows NT 5.0.) Användarens nyckelkort används för att jämföra med behörighetsposter Windows NT avgör om en användare (en användares konto) har nödig behörighet till en resurs med hjälp av användarens nyckelkort. Nyckelkortet innehåller alla uppgifter om kontots gruppmedlemskap (globala, lokala och specialgrupper) så det behövs ingen ytterligare kontakt med kontodatabasen. Hanteringen av nyckelkort i Windows NT är mycket god, eftersom den gör att kontakt med kontodatabaser endast behöver ske när nyckelkortet upprättas. Därefter används nyckelkortet vid alla åtkomstförsök till resurser i egen domän och domäner kopplade till den egna domänen. Behörigheter kan ses som luckor som öppnas eller lämnas stängda En jämförelse som fungerar någorlunda [min åsikt] är att se behörigheter som luckor som antingen öppnas eller lämnas stängda. Vilka luckor som öppnats eller lämnats stängda avgör sedan vilken sammanlagd behörighet som givits användaren. 176

11 Behörighet i allmänhet Behörigheter sedda som luckor alla luckor öppna. Bilden är tänkt att föreställa behörigheter i allmänhet därför har jag tagit med både en utdelad resurs, mappar och filer i bilden. När en eller flera luckor är fråndragna/öppna innebär det att en viss given behörighet medges. Likaså gäller att en stängd lucka nekar den angivna behörigheten. Behörigheter sedda som skjutluckor alla luckor stängda. Behörigheter tilldelas/åsätts grupper I Windows NT kan man använda alla tre olika grupptyper för att tilldela dem behörigheter. I Microsofts grupphanteringsmodell används endast lokala grupper (samt specialgrupperna Skapare Ägare//Creator Owner och System//System) när man åsätter behörighet (lokal och delningsbehörighet). 177

12 5 Användarkonton, grupper, användarrättigheter och behörigheter: en översikt Behörigheter utdelade till flera grupper läggs samman När man delar resurser och åsätter dessa behörighet är det vanligt att det inte räcker att åsätta en enda behörighet eftersom olika grupper av användare kan ha olika behov av åtkomst till en resurs. Ett enkelt exempel är nätverksadministratörerna (alltså de som administrerar vårt nätverk). Denna grupp ger man vanligtvis fullständiga privilegier vad gäller resurser på datorer i nätverket (det är oftast de själva som åsätter behörighet så det är kanske inte så konstigt att gruppen åtnjuter ett mycket stort förtroende). Det stora kollektivet i vårt nätverk användarna behöver aldrig lika omfattande privilegier som administratörerna. Antag då att vi åsätter behörighet till en resurs och tilldelar grupperna administratörer och användare olika behörighet: Administratörer/- P, O Nätverksadministratörerna /Administrators behöver endast kunna ändra behörighetslistor och bli ägarinna av resursen. Användare//Users R, X, W, D Användare behöver kunna läsa, köra, ändra och ta bort I den rekommenderade grupphanteringsmodellen använder vi globala grupper för att tilldela behörighet (byt ut Administratörer mot Domänadministratörer och Användare mot Domänanvändare ovan). I Microsofts grupphanteringsmodell är alla användarkonton medlemmar av globala grupper vilka i sin tur är medlemmar av lokala grupper på detta sätt får en användare tillgång till resurser i nätverket. Tillämpar vi Microsofts grupphanteringsmodell på exemplet ser vi att närhelst en vanlig användare försöker komma åt resursen kommer hon att medges behörigheterna R, X, W och D, d.v.s. hon kan läsa innehåll (R), köra program (X), ändra innehåll (W) och ta bort objektet (D). Hennes användarkonto är medlem av den globala gruppen Domänanvändare//Domain Users vilken är medlem av den lokala gruppen Användare//Users på alla Windows NT-datorer (i en Windows NT-domän). I detta fall behöver vi alltså inte bry oss om att det finns behörigheter tilldelade två olika användargrupper eftersom användarens konto endast är (indirekt) medlem i en av grupperna. Låt oss då betrakta vad som händer när en av nätverksadmini stratörerna försöker komma åt samma resurs. En administratörs 178

13 Behörighet i allmänhet konto är medlem av den globala gruppen Domänadministratörer/ /Domain Admins, kontot är dessutom medlem av den globala gruppen Domänanvändare//Domain Users. Den globala gruppen Domänadministratörer//Domain Admins i en Windows NT-domän är alltid medlem av den lokala gruppen Administratörer//Administrators (på alla Windows NT-datorer i domänen). För administratören uppstår alltså fallet att kontot är med i flera grupper vilka har olika behörighet till resursen. Den sammanlagda behörigheten får vi genom att helt enkelt lägga ihop de olika behörigheterna: Administratörer//Administrators Användare//Users Konto som är med i både Administratörer/- /Administrators och Användare//Users P, O R, X, W, D R, X, W, D, P, O Som synes blir den sammanlagda behörigheten summan av de behörigheter som tilldelats alla grupper som kontot är (indirekt) medlem av. Behörigheten Ingen behörighet//no Access fungerar annorlunda Behörigheten Ingen behörighet//no Access fungerar inte som de andra behörigheterna den har större tyngd än alla de andra tillsammans. Om användaren är med i en användargrupp som tilldelats behörigheten Ingen behörighet//no Access kommer ingen åtkomst att medges, oavsett vilka andra behörigheter som tilldelats användaren. 179

14 5 Användarkonton, grupper, användarrättigheter och behörigheter: en översikt Behörigheten Ingen behörighet//no Access innebär att ingen som helst åtkomst medges se den som en stor lucka som stänger hela resursen för all åtkomst. Låt oss fortsätta med exemplet ovan och tilldela en av oss upprättad lokal grupp behörigheten Ingen behörighet//no Access till samma resurs. Administratörer/- P, O /Administrators Användare//Users R, X, W, D Administratörerna behöver endast kunna ändra behörighetslistor och bli ägarinna av resursen. Användare behöver kunna läsa, köra, ändra och ta bort Praktikanter Ingen behörighet/- Praktikanter skall inte ha /No Access någon insyn i denna resurs. Vi tänker oss vidare att vi upprätter en global grupp med namnet DomPraktikanter i vilken vi gör alla praktikanter till medlemmar. Dessutom gör vi gruppen DomPraktikanter till medlem av den lokala gruppen Praktikanter. Kom ihåg att alla konton i en Windows NT-domän automatiskt görs till medlemmar av Domänanvändare//Domain Users. När nu en praktikant (kontot är medlem av DomPraktikanter) försöker komma åt resursen ovan skulle följande kunna tänkas ske: q Windows NT kan avgöra att kontot inte är medlem av Administratörer//Administrators den behörighetsposten spelar alltså inte in 180

15 Behörighet i allmänhet q Kontot är faktiskt medlem av Användare//Users så behörighetsposten R, X, W, D spelar in q Kontot är medlem av Praktikanter så posten Ingen behörighet//no Access spelar in Slutresultatet blir att kontot nekas åtkomst eftersom Ingen behörighet//no Access har mycket större tyngd än de övriga tillsammans. Hur Windows NT faktiskt behandlar Ingen behörighet//no Access För att göra hanteringen av behörighetslistor snabbare tillgriper Windows NT ett litet knep närhelst behörigheten Ingen behörighet//no Access åsatts en resurs. Knepet innebär att posten som innehåller Ingen behörighet//no Access alltid läggs först i behörighetslistan. På så sätt kan Windows NT avbryta genomsökningen av behörighetslistan så fort den stöter på en post med Ingen behörighet//no Access för en grupp som det aktuella kontot är medlem av. Ingen behörighet//no Access stänger ute endast de grupper som tilldelats denna behörighet Behörigheten Ingen behörighet//no Access måste uttryckligen tilldelas en grupp för att stänga ute medlemmar i denna grupp det räcker inte att någon grupp tilldelats denna behörighet (om inte denna grupp är specialgruppen Alla//Everyone). På motsvarande sätt gäller att man inte behöver undra över om behörigheten Ingen behörighet//no Access spiller över till andra grupper det gör den inte! Den spelar endast roll för medlemmar i den grupp som tilldelats denna behörighet. Icke angiven behörighet medför ingen åtkomst Utan behörighetslista finns det ingen åtkomst till resursen. Man måste alltså alltid uttryckligen åsätta behörigheter för att medge åtkomst. Det är stor skillnad mellan att inte ange behörighet och behörigheten Ingen behörighet//no Access Behörigheten Ingen behörighet//no Access finns för att uttryckligen neka åtkomst till en resurs. Det är den stora skillnaden 181

16 5 Användarkonton, grupper, användarrättigheter och behörigheter: en översikt mellan att inte ange behörighet och behörigheten Ingen behörighet//no Access. Att inte ange behörighet för en viss grupp är neutralt om ett användarkonto är med i andra grupper med åsatt behörighet medges åtkomst. Skulle samma grupp tilldelats behörigheten Ingen åtkomst//no Access kommer åtkomst alltid att nekas. Vi tänker oss samma exempel som ovan med resursen som gruppen Praktikanter inte skulle tillåtas komma åt. Vi upprättar ytterligare en grupp, Elever. I det första fallet anger vi ingen behörighet för gruppen Elever och i det andra fallet åsätter vi behörigheten Ingen behörighet//no Access gruppen. Gruppen Elever åsätts ingen uttrycklig behörighet till resursen Vi åsätter följande behörighet till resursen: Administratörer//Administrators Användare//Users Praktikanter Elever (ingen angiven behörighet de finns inte med i behörighetslistan) P, O R, X, W, D Ingen behörighet/- /No Access Ett användarkonto som endast är med i gruppen Elever får följande sammanlagda behörighet: Elever ingen angiven behörighet Konto som endast är med i Elever Ingen angiven behörighet innebär ingen åtkomst (när kontot inte med i andra grupper som tilldelats behörighet) Som synes får detta konto ingen uttrycklig behörighet och därmed nekas kontot/användaren åtkomst till resursen. Ett användarkonto som är med i gruppen Användare//Users och gruppen Elever får följande sammanlagda behörighet: 182

17 Lokal behörighet/lokal säkerhet, NTFS-behörighet Användare//Users Elever Konto som är med i både Användare/- /Users och Elever R, X, W, D R, X, W, D Det är alltså neutralt att inte ange någon behörighet det hindrar inte ett användarkonto från åtkomst om det finns andra behörigheter och det medför ingen behörighet själv. Gruppen Elever åsätts behörigheten Ingen behörighet//no Access Skulle vi bestämma oss för att gruppen Elever skall stängas ute från resursen åsätter vi följande behörigheter: Administratörer//Administrators Användare//Users Praktikanter Elever P, O R, X, W, D Ingen behörighet/- /No Access Ingen behörighet/- /No Access Ett användarkonto som endast är med i gruppen Elever får följande sammanlagda behörighet: Elever Ingen behörighet/- /No Access Konto som är med i Elever Ingen behörighet/- /No Access Eftersom vi åsatt gruppen Elever behörigheten Ingen behörig het//no Access nekas åtkomst. Ett användarkonto som är med i båda grupperna Användare/ /Users och Elever får följande sammanlagda behörighet: 183

18 5 Användarkonton, grupper, användarrättigheter och behörigheter: en översikt Användare//Users Elever Konto som är med i både Användare/- /Users och Elever R, X, W, D Ingen behörighet/- /No Access Ingen behörighet/- /No Access Behörigheten Ingen behörighet//no Access har större tyngd än Ändra//Change så den sammanlagda behörigheten blir Ingen behörighet//no Access, d.v.s. åtkomst nekas. Lokal behörighet/lokal säkerhet, NTFS-behörighet Lokal behörighet (ofta kallad lokal säkerhet) är knutet till filsystemet NTFS. Det är endast mappar och filer som kan åsättas lokal behörighet vilket skiljer lokal behörighet från delningsbehörighet. Lokal behörighet är mycket lik delningsbehörighet därför att samma grundbehörigheter används för både lokal behörighet och delningsbehörighet. Skillnaden är att lokal behörighet använder två grundbehörigheter som inte finns i delningsbehörighet. q Ingen behörighet//no Access q Läsa//Read q Exekvera [Köra]//Execute q Skriva//Write q Ta bort//delete q File Delete Child q Ändra behörighet//change Permissions q Bli ägare//take Ownership Märk att behörigheterna Bli ägare//take Ownership (O) och File Delete Child (F) verkligen finns när vi talar om lokal behörighet. I delningsbehörighet använder vi dem som hjälpbehörigheter för att lättare förstå samverkan mellan delningsbehörighet och lokal behörighet för utdelade mappar på NTFS-volymer. N R X W D F P O 184

19 Lokal behörighet/lokal säkerhet, NTFS-behörighet Lokal behörighet ärvs Lokal behörighet som åsätts en mapp ärvs av nya undermappar till mappen. Samma gäller med nya filer i mappen. När man anger lokal behörighet för en mapp kan man ange olika uppsättning behörighet för mappen (och dess nya undermappar) samt nya filer i mappen (och i dess undermappar). Mappar och filer på NTFS-volymer har alltid ägarinna Vad gäller Bli ägare//take Ownership behövs den eftersom alla filer och mappar i NTFS har en ägarinna. Ägandeskapet kan aldrig ges bort, men man kan ge andra behörigheten att göra sig själva till ägarinna av filer och mappar med hjälp av behörigheten Bli ägare//take Ownership. Orsaken till att ägandeskapet aldrig kan ges bort är att man inte skall kunna ta över ägandeskapet för ett objekt, göra något ofog och sedan ge tillbaka objektet för att dölja sina spår. Mappar och filer kan ha olika uppsättning lokal behörighet Skulle man önska kan man enkelt åsätta olika lokal behörighet för en mapp och de filer som finns i mappen och även olika för varje enskild fil. Genom att använda denna egenskap i lokal behörighet kan man upprätta mappar med speciella och trevliga egenskaper mer om det nedan. Lokal behörighet för mappar (och nya filer i mapparna) Det finns sex sammansatta (av Microsoft) lokala behörigheter för mappar på en NTFS-volym: q Fullständig behörighet//full Control q Ändra//Change q Lägga till och Läsa//Add & Read q Lägga till//add q Läsa//Read q Lista//List q Ingen behörighet//no Access Flera av de sammansatta behörigheterna har samma uppsättning för mappar och som förvald/ärvd behörighet för nya filer i 185

20 5 Användarkonton, grupper, användarrättigheter och behörigheter: en översikt mappen men inte alla, vilket syns i tabellen nedan: Lokal behörighet Fullständig behörighet//full Control Grundbehörighet för R, X, W, D, F, P, O (samtliga lokala mappen grundbehörigheter) Grundbehörighet för R, X, W, D, P, O (samtliga lokala nya filer i mappen grundbehörigheter utom File Delete Child) Anmärkning Lista innehåll i mappen, lägga till och ta bort filer i mappen, ändra namn på filer. Läsa, ändra, ta bort vanliga filer. Köra, ändra och ta bort programfiler. Dessutom möjlighet att ändra behörighetslistor (ACL), d.v.s. vem som har behörighet till den utdelade resursen. Lokal behörighet Ändra//Change Grundbehörighet för R, X, W, D mappen Grundbehörighet för R, X, W, D nya filer i mappen Anmärkning Köra, ändra och ta bort programfiler. Lista innehåll i mappen, lägga till och ta bort filer i mappen, ändra namn på filer. Läsa, ändra, ta bort vanliga filer. Lokal behörighet Lägga till och Läsa//Add & Read Grundbehörighet för R, W, X mappen Grundbehörighet för R, X nya filer i mappen Anmärkning Lista innehåll i mappen, lägga till filer i mappen, läsa innehåll i nya filer i mappen, köra nya programfiler i mappen Lokal behörighet Lägga till//add Grundbehörighet för W, X mappen Grundbehörighet för Icke angiven//not specified nya filer i mappen Anmärkning Lägga till filer till mappen, ingen förvald behörighet för nya filer i mappen Lokal behörighet Läsa//Read Grundbehörighet för R, X 186

21 Lokal behörighet/lokal säkerhet, NTFS-behörighet mappen Grundbehörighet för nya filer i mappen Anmärkning nya filer i mappen Lokal behörighet Grundbehörighet för mappen Grundbehörighet för nya filer i mappen Anmärkning Lokal behörighet Grundbehörighet för mappen Grundbehörighet för nya filer i mappen Anmärkning R, X Lista innehåll i mappen och läsa innehåll i Lista//List R, X Icke angiven//not specified Lista innehåll i mappen Ingen behörighet//no Access N N Ingen åtkomst till mappen eller filer i den Var ser man lokala behörigheter Lokala behörigheter kan åsättas mappar och filer närhelst man önskar det finns ingen koppling till resursdelning. Befintliga lokala behörigheter undersöker eller ändrar man genom att markera mappen eller filen, ta fram snabbmenyn, välja Egenskaper//Properties (eller Dela ut//sharing, om det är en mapp), öppna fliken Säkerhet//Security, och sedan trycka på Behörighet//Permissions. 187

22 5 Användarkonton, grupper, användarrättigheter och behörigheter: en översikt Lokal behörighet för mappen d:\arbete\budget (och nya filer i mappen). Notera att det står Behörigheter för katalog [mapp]//directory [Folder] Permissions i dialogrutan. Du ser också att en mapps ägarinna syns i dialogrutan. Lokal behörighet kan studeras både från Den här datorn//my Computer och/eller Windows NT-utforskaren//Windows NT Explorer. Studera bilden så ser du att det efter namnet på den sammansatta lokala behörighet finns två parenteser. Dessa finns alltid med när det gäller lokal behörighet. Den första parentesen innehåller grundbehörigheterna för mappen, den andra parentesen visar grundbehörigheter för nya filer i mappen. Specialgruppen Skapare ägare//creator Owner är tillgänglig för mappar, inte för filer När du tilldelar lokal behörighet har du tillgång till domänens samtliga globala grupper, de egna lokala grupperna (de kontrollantlokala grupperna om datorn råkar var en domänkontrollant) och flera specialgrupper, bland de senare Skapare ägare//creator Owner. Specialgruppen Skapare ägare//creator Owner är tänkt att användas i behörighetsposter på mappnivå, men avsedda för filer 188

23 Delningsbehörighet man som upprättas i mappen. Posten för Skapare ägare//creator kommer att återfinnas i behörighetslistan för filen, med namnet Skapare ägare//creator Owner utbytt mot kontonamnet som användes för att upprätta filen. Skapare ägare//creator Owner fungerar alltså som en platshållare för ett framtida konto (det som konto som sedan används för att upprätta en fil). När du åsätter lokal behörighet för filer ser du inte gruppnam net Skapare ägare//creator Owner bland de grupper som kan användas i en behörighetspost för filen Skapare ägare//creator Owner används endast på mappnivå i NTFS. Vad gäller filer kan vi ju inte upprätta nya filer inuti befintliga filer. Behörighetsposter för Skapare ägare//creator Owner kopieras till nya mappar När du upprättar undermappar till en mapp vars behörighetslista innehåller en behörighetspost för Skapare ägare//creator Owner kommer denna post att kopieras (utan ändring) till behörighetslistan för den nya mappen. Posten kommer inte heller påverka behörighetsposten för ägarkontot. Ändra befintlig lokal behörighet för mappar och filer Befintlig lokal behörighet kan när som helst ändras. Om du använder dialogrutan för att ändra behörighet kommer du att märka att den endast kan byta ut befintlig uppsättning behörigheter du kan inte lägga till en ny behörighetspost och få Windows NT att lägga till den till behörighetslistor för befintliga filer och undermappar. Windows NT kommer att alltid att ta hela den nya behörighetslistan och genomföra den i hela mappträdet. Detta kan låta skumt för den som kan NetWare. I NetWare är det enkelt att ändra behörighetslistor genom att lägga till nya behörighetsposter eller ta bort befintliga det är en okänd konst för Den här datorn//my Computer och Windows NT-utforskaren//Windows NT Explorer. Det går dock att ändra i en befintlig behörighetslista om du använder något av kommandoradsverktygen CACLs.Exe (följer med i Windows NT) eller XCACLs.Exe (från Resource Kit). Lokal behörighet när filer flyttas eller kopieras Den lokala behörighetslistan sparas tillsammans med filen den är ett attribut bland andra i NTFS. Därmed finns med 189

24 5 Användarkonton, grupper, användarrättigheter och behörigheter: en översikt möjlighet att låta behörighetslistan följa med när en fil kopieras eller flyttas från en mapp till en annan. Så här har Microsoft valt att göra: Kopiering/flytt Kopiering från en mapp till en annan (oavsett om det är inom samma volym eller inte) Flytt från en mapp till en annan inom samma volym Flytt från en mapp till en annan mapp på en annan volym Vad händer med behörighetslistan Behörigheten fås från inställningar för den nya modermappen Behörigheten följer med filen utan att ändras Behörigheten fås från inställningar för den nya modermappen Olyckligtvis nog har alltså Microsoft valt att låta flytt av filer uppföra sig olika beroende på om det är inom samma volym eller mellan olika volymer (i Microsofts dokumentation står det inget om denna skillnad så om du får denna fråga på ett MCP-prov måste du svara som Microsoft säger att det är inte som det verkligen är). Hur du skall göra för att det skall bli rätt i ditt nätverk är inte lätt att säga det beror mycket på de behov ni har. Ett kan jag säga det är viktigt att du känner till detta beteende. Delningsbehörighet Delningsbehörighet är verksam när en användare försöker komma åt en utdelad mapp, en utdelad skrivare eller annan utdelad resurs över nätverket, d.v.s. från en annan dator. För den som arbetat eller arbetar med andra MS-Net-produkter såsom 3+Share, 3+Open, Microsoft LAN Manager for OS/2, IBM LAN Server, IBM Warp Server, m.fl. är delningsbehörigheter något hemtamt. Delningsbehörighet använder samma grundbehörigheter som lokal behörighet, men inte lika många Liksom lokal behörighet är delningsbehörigheter sammansatta av grundbehörigheter. Lokal behörighet och delningsbehörighet använder grundbehörigheter från samma uppsättning, men olika många. Dessa grundbehörigheter används av delningsbehörighet: 190

25 Delningsbehörighet q Ingen behörighet//no Access q Läsa//Read q Exekvera [Köra]//Execute q Skriva//Write q Ta bort//delete q Ändra behörighet//change Permissions För att lättare förstå samverkan mellan lokal behörighet och delningsbehörighet inför jag två grundbehörigheter som hjälpbehörigheter i delningsbehörighet: Bli ägare//take Ownership (O) och File Delete Child (F). De markeras alltid med kursiv stil: q File Delete Child q Bli ägare//take Ownership Delningsbehörigheterna i Windows NT är sammansatta av grundbehörigheter Det finns fyra olika delningsbehörigheter för utdelade mappar: q Fullständig behörighet//full Control q Ändra//Change q Läsa//Read q Ingen behörighet//no Access De tre första är sammansatta av grundbehörigheterna ovan. Sammansättningen av delningsbehörigheterna kan inte ändras och vi kan inte heller använda oss av grundbehörigheterna vi är hänvisade till de fyra sammansatta delningsbehörigheterna. Delningsbehörighet Fullständig behörighet//full Control Grundbehörighet R, X, W, D, F, P, O (samtliga grundbehörigheter) Anmärkning Läsa, ändra, ta bort vanliga filer. Köra, ändra och ta bort programfiler. Lista innehåll i mappar, lägga till och ta bort filer i mappar. Dessutom möjlighet att ändra behörighetslistor (ACL), d.v.s. vem som har behörighet till den utdelade resursen. Om mappen har lokala behörigheter medger delningsbehörigheten Fullständig behörighet//full Control att de lokala behörigheterna File Delete Child (F) och Bli ägare//take N R X W D P F O 191

26 5 Användarkonton, grupper, användarrättigheter och behörigheter: en översikt Ownership (O) verkar om de är åsatta mappen (F och O) eller filen (O). Delningsbehörighet Ändra//Change Grundbehörighet R, X, W, D, F Anmärkning Läsa, ändra, ta bort vanliga filer. Köra, ändra och ta bort programfiler. Lista innehåll i mappar, lägga till och ta bort filer i mappar. Om mappen har lokala behörigheter medger Ändra//Change att File Delete Child (F) verkar om den är åsatt mappen (som lokal behörighet). Delningsbehörighet Läsa//Read Grundbehörighet R, X Anmärkning Läsa vanliga filer, köra program. Lista innehåll i undermappar. Delningsbehörighet Ingen behörighet//no Access Grundbehörighet N Anmärkning Ingen åtkomst över nätverket. Som framgår av kommentaren för Fullständig behörighet//full Control och Ändra//Change i tabellen ovan samverkar delningsbehörigheter och lokala behörigheter. Man kan aldrig se i en behörighetslista att delningsbehörigheten Ändra//Change medger verkan av den (speciella) lokala behörigheten File Delete Child (F), men det är lätt att försäkra sig om att så verkligen är fallet. Likaså finns det ingen delningsbehörighet som handlar om ägandeskap, men det är först när man åsätter en utdelad resurs delningsbehörigheten Fullständig behörighet//full Control som den lokala behörigheten Bli ägare//take Ownership (O) har någon verkan (förutsatt att mappen som delas ut finns på en NTFS-volym). Delningsbehörigheter sätts för en enda nivå i mappträdet Delningsbehörigheter anges för en enda mapp i taget skulle du vilja ha olika delningsbehörighet för en viss mapp och undermappar till den mappen låter sig detta inte göra. En lösning om du har detta behov är att använda NTFS vilket låter dig hantera lokala behörigheter för alla mappar och filer på hela NTFS-volymen. 192

27 Likheter och skillnader mellan lokal behörighet och delningsbehörighet Var ser man delningsbehörigheter Delningsbehörigheterna ser man när en resurs delas ut vill man undersöka befintliga delningsbehörigheter gör man på samma sätt som resursdelning d.v.s. markerar mappen, tar fram snabbmenyn, väljer Egenskaper//Properties (eller Dela ut//sharing), öppnar fliken Dela ut//sharing, kryssar i Delad som//shared As, bestämmer resursnamn och trycker sedan på Behörighet//Permissions för att åsätta delningsbehörighet till användargrupper. Delningsbehörigheter//Share Permissions för den delade resursen (mappen) Budget. Notera att det står Behörighet för resurs//access Through Share Permissions i dialogrutan. Vad är Ägare//Owner och Namn//Name Två intressanta saker syns i bilden här ovan: Microsoft har gjort plats för Ägare//Owner och Namn//Name. Den ena, Ägare//Owner, kan jag förstå eftersom det kan vara något som är kvarlämnat från dialogrutan för lokal behörighet. Den andra, Namn//Name, är värre: den används tydligen inte för resursnamnet och det borde inte vara ägarinnans kontonamn, kan det vara ägarinnans fullständiga namn (hämtat från kontouppgifterna)? Likheter och skillnader mellan lokal behörighet och delningsbehörig- 193

28 5 Användarkonton, grupper, användarrättigheter och behörigheter: en översikt het Likheter mellan lokal behörighet och delningsbehörighet Jag skrev ovan att delningsbehörighet och lokal behörighet är lika eftersom de använder (i stort) samma grundbehörigheter. Utöver denna likhet är bådas syfte att styra tillgång till resurser. En annan stor likhet är att de grupper som används för att åsätta delningsbehörighet och lokal behörighet är samma i båda fallen. Låt mig sammanfatta likheterna i punktform: q Båda använder samma grundbehörigheter: R, W, X, D q Båda används för att styra tillgång till resurser q Användargrupperna som tilldelas behörighet är de samma q Båda hanteras från Den här datorn//my Computer eller Windows NT-utforskaren//Windows NT Explorer Skillnader mellan lokal behörighet och delningsbehörighet Likheterna till trots finns det även stora olikheter mellan delningsbehörighet och lokal behörighet. q Lokal behörighet innehåller fler grundbehörigheter: F, O q Lokal behörighet är alltid verksam oavsett om användaren försöker nå resursen via nätverket eller genom att logga in lokalt q Lokal behörighet är inte begränsad till de förvalda, sammansatta, behörigheterna utan grundbehörigheterna kan fritt blandas q Lokal behörighet kan vara olika för undermappar i ett mappträd delningsbehörighet är en enda nivå q Lokal behörighet kan vara olika för mappar och filer i mapparna q Lokal behörighet kan vara olika för filer i samma mapp q Den lokala behörigheten Fullständig behörighet//full Control innehåller en dold behörighet File Delete Child vilken kan vara till förtret q I lokal behörighet finns det ett ägarbegrepp detta kan man 194

29 Lokal behörighet och delningsbehörighet motverkar varandra använda för att ge den som upprättar en fil eller mapp andra behörigheter än andra användare q Lokal behörighet finns endast på NTFS-volymer och hanterar endast mappar och filer inga andra typer av objekt q Lokal behörighet följer med mappar och filer när man flyttar dem (inom samma volym) q Lokal behörighet för nya mappar och filer fås genom inställning för mappen ovanför q Delningsbehörighet fungerar även för mappar på FATvolymer q Delningsbehörighet kan användas på andra resurser som inte är fil- och mappresurser (skrivarbehörigheter skiljer sig från både lokal och delningsbehörighet) Lokal behörighet och delningsbehörighet motverkar varandra När du delar ut mappar på en NTFS-volym måste du tänka på att lokal behörighet och delningsbehörighet motverkar varandra den minst tillåtande av dem båda kommer att gälla. Betrakta behörighetsfamiljerna som skjutluckor Om vi fortsätter bilden med behörigheter som skjutluckor kan vi betrakta lokal behörighet som skjutluckor i vågrät ledd och delningsbehörighet som skjutluckor i lodrät ledd. Det är endast där båda typerna av skjutluckor är fråndragna som en viss behörighet uppstår. Med andra ord om du vill ge den slutliga behörigheten att läsa innehållet i en fil (eller lista filerna i en mapp) måste du dra ifrån/öppna både den vågräta (lokal behörighet) luckan Läsa (R) och den lodräta (delningsbehörighet) luckan Läsa (R). Nu ser du också varför jag införde behörigheterna File Delete Child (F) och Bli ägare//take Ownership (O) som hjälpbehörigheter i delningsbehörigheter. Min tanke var att det blev tydligare med skjutluckorna om det var samma luckor både vågrätt (lokal behörighet) och lodrätt (delningsbehörighet). Med andra ord för att viss behörighet skall medges måste både den vågräta skjutluckan och den lodräta skjutluckan dras ut (öppnas). 195

30 5 Användarkonton, grupper, användarrättigheter och behörigheter: en översikt Med skjutluckor i två plan blir åtkomsten mer som en rektangel, hela rektangeln måste vara frilagd (både vågräta och lodräta luckor fråndragna) för att behörigheten skall medges. Lokal behörighet (främst) och delningsbehörighet i samma bild det är så här det ser ut när vi delar ut resurser på NTFS-volymer. Låt inte bilden leda dig att tro att det är någon skillnad mellan lokala behörigheter och delningsbehörigheter så att den ena kommer före den andra eller är viktigare bilden försöker bara visa att båda spelar roll när man åsätter behörighet till utdelade resurser på NTFS-volymer. Det är viktigt att förstå hur lokala behörigheter och delningsbehörigheter samverkar När du delar ut mappar på en NTFS-volym för åtkomst över nätverket måste du alltid tänka på att lokala behörigheter och delningsbehörigheter samverkar på sådant sätt att den sammanvägda behörigheten blir den av lokal behörighet och delningsbehörighet som är minst tillåtande. Det spelar ingen roll om det är de lokala behörigheterna eller delningsbehörigheterna som medger minst åtkomst den av sammanlagd lokal behörighet och sammanlagd delningsbehörighet som är minst omfattande kommer att bli den sammanvägda, slutliga, behörigheten, den som användaren uppfattar. I detta fall är det ingen skillnad mellan lokal behörighet och delningsbehörighet. 196

31 Lokal behörighet och delningsbehörighet motverkar varandra Exempel samma lokala behörighet och delningsbehörighet Behörigheten Fullständig behörighet//full Control både lokalt och utdelat Resultatet av att tilldela behörigheten Fullständig behörighet//full Control både lokalt och som delningsbehörighet. Observera att File Delete Child inte finns på filnivå. Då vi tilldelar den lokala behörigheten Fullständig behörighet/ /Full Control både till en mapp och nya filer i mappen på en NTFS-volym samt delningsbehörigheten Fullständig behörighet/ /Full Control till mappen vid utdelning via nätverket blir den resulterande behörigheten Fullständig behörighet//full Control. Detta syns i bilden ovan: alla luckor är öppna/fråndragna. Eftersom de lokala behörigheterna File Delete Child (F) och Bli ägare//take Ownership (O) inte har någon motsvarighet bland delningsbehörigheter inför vi dem som hjälpbehörigheter bland delningsbehörigheterna. De är markerade genom att deras förkortning är kursiverad, F och O, när de används som delningsbehörigheter. Som jag redan sagt behörigheten Fullständig behörighet//full Control skall endast tilldelas administratörer. 197

32 5 Användarkonton, grupper, användarrättigheter och behörigheter: en översikt Behörigheten Ändra//Change både lokalt och utdelat Behörigheten Ändra tilldelad både lokalt och utdelat ger en lucka med den sammanvägda behörigheten RXWD. Här har vi åsatt den lokala behörigheten Ändra//Change för både mappen och nya filer i mappen. Dessutom är mappen utdelad med delningsbehörigheten Ändra//Change. Den resulterande behörigheten blir naturligtvis Ändra//Change. Märk att de inbyggda, sammansatta, behörigheterna Ändra/ /Change är litet olika för lokal behörighet och delningsbehörighet. I det senare fallet, delningsbehörighet, är även skjutluckan File Delete Child öppnad. Minns att File Delete Child inte är någon egentlig delningsbehörighet, den innebär endast att om File Delete Child är angiven som lokal behörighet räcker det att ange delningsbehörigheten Ändra//Change för att File Delete Child som lokal behörighet skall kunna verka. 198

33 Lokal behörighet och delningsbehörighet motverkar varandra Behörigheten Läsa//Read både lokalt och utdelat När behörigheten Läsa//Read åsätts en resurs både lokalt och utdelat blir resultatet en fyrkant i vilken den sammanvägda behörigheten blir Läsa//Read (RX). I bilden ovan har vi åsatt en mapp (och nya filer i mappen) på en NTFS-volym den lokala behörigheten Läsa//Read. Därefter har vi delat ut mappen för åtkomst via nätverket och åsatt delningsbehörigheten Läsa//Read. Eftersom båda uppsättningarna behörigheter är samma blir den sammanvägda behörigheten Läsa//Read. Olika lokal behörighet och delningsbehörighet När man tilldelar olika lokal behörighet och delningsbehörighet blir den sammanvägda behörigheten alltid den minst tillåtande av de två. Detta öppnar möjligheten att finlira med behörigheterna. Eftersom man fritt kan välja bland lokala behörigheter kan man tänka sig att göra mappar med olika egenskaper. Senare i detta kapitel (och mer ingående i kapitel 27) kommer du få stifta bekantskap med tre olika sätt att systematisera hanteringen av lokal behörighet och delningsbehörighet. Du kommer att märka att det kan löna sig på fler än ett sätt att tänka igenom er hantering av behörigheter. Innan vi börjar tala om olika metoder att hantera lokala behörigheter och delningsbehörigheter ska vi titta på några exempel. Behörigheten Läsa//Read lokalt och 199

34 5 Användarkonton, grupper, användarrättigheter och behörigheter: en översikt Ändra//Change utdelat Behörigheten Läsa//Read lokalt och Ändra//Change utdelat ger en sammanvägd behörighet av Läsa//Read den minst tillåtande av de två. Den lokala behörigheten Läsa//Read med delningsbehörigheten Ändra//Change ger en sammanvägd behörighet av: Läsa//Read: Lokal behörighet Läsa//Read Delningsbehörighet Ändra//Change Sammanvägd behörighet (den minst tillåtande) R, X R, X, W, D R, X Det spelar alltså ingen roll att delningsbehörigheten är mer tillåtande än den lokala behörigheten (eller omvänt) den sammanvägda behörigheten blir alltid den minst tillåtande. Den sammanvägda behörigheten är den minst tillåtande av lokal behörighet och delningsbehörighet där ingen av dem är viktigare än den andra. Behörigheten Läsa//Read lokalt och Fullständig behörig- 200

35 Lokal behörighet och delningsbehörighet motverkar varandra het//full Control utdelat Behörigheten Läsa//Read lokalt tillsammans med delningsbehörigheten Fullständig behörighet//full Control ger även den en sammanvägd behörighet som är Läsa//Read (RX). Den lokala behörigheten Läsa//Read tillsammans med delningsbehörigheten Fullständig behörighet//full Control ger en sammanvägd behörighet av: Läsa//Read. Lokal behörighet Läsa//Read Delningsbehörighet Fullständig behörighet//full Control Sammanvägd behörighet (den minst tillåtande) R, X R, X, W, D, F, P, O R, X Det spelar alltså ingen roll att delningsbehörigheten är mer tillåtande än den lokala behörigheten den sammanvägda behörigheten blir alltid den minst tillåtande. (Det förtjänar att upprepas.) Behörigheten Fullständig behörighet//full Control lokalt 201