Текст книги "Microsoft Windows XP Professional. Опыт сдачи сертификационного экзамена 70-270"

You are a help desk administrator for your company. You install Windows XP Professional on all portable computers in the marketing department. Users in this department bring their computers from their offices to a conference room for a weekly marketing meeting. These users need a simple method to manually place their computers in a low-power state without using the Start button. Additionally, they need their computers to start as quickly as possible. You need to configure the Power Options on the portable computers to meet these requirements. What should you do?

A. Configure the power button on each computer to enable hibernation.

B. Configure the computers to enable standby when the lid is closed.

C. Configure all the computers to use the Portable/Laptop power scheme.

D. Configure the computers to use the Minimal Power Management power scheme.

E. Configure the Critical Battery Alarm on the computers to hibernate when the battery capacity reaches 3 percent.

Вы администратор службы технической поддержки вашей компании. Бы устанавливаете Windows ХР Professional на все переносные компьютеры отдела сбыта. Пользователи этого отдела приносят переносные компьютеры из своих офисов на еженедельное собрание работников отдела. Этим пользователям необходимо иметь простой способ вручную переключать их компьютеры в режим с низким энергопотреблением без использования кнопки Пуск. Кроме того, компьютеры должны выходить из этого режима настолько быстро, насколько это возможно. Бы должны настроить параметры электропитания переносных компьютеров, чтобы эти требования выполнялись. Что вы должны сделать?

A. Настроить кнопку питания на каждом компьютере так, чтобы при ее нажатии компьютер переходил в спящий режим.

B. Настроить переносные компьютеры так, чтобы они переходили в ждущий режим каждый раз, когда крышка компьютера закрывается.

C. Настроить схему управления питанием каждого компьютера на использование схемы Портативная.

D. Настроить схему управления питанием каждого компьютера на использование схемы Экономия батарей.

E. Настроить каждый переносной компьютер так, чтобы он переходил в спящий режим всякий раз, когда заряд батареи становится равным трем процентам.

Правильный ответ: В.

В этом вопросе требуется решить две задачи: предоставить пользователям механизм, с помощью которого они вручную могли бы переводить свои переносные компьютеры в энергосберегающий режим, и обеспечить максимально быстрый выход системы из этого режима. В варианте А предлагается решение только первой задачи: ручной переход в спящий режим. Однако выход из спящего режима требует относительно много времени. Следовательно, ответ А не удовлетворяет полностью требованиям пользователей. Вариант В также предоставляет способ переводить компьютер в режим с низким потреблением энергии. Хотя компьютер во время пребывания в ждущем режиме (в отличие от спящего режима) все же использует некоторое количество электроэнергии, возвращение системы в работоспособное состояние происходит практически сразу. Ответ В удовлетворяет обоим требованиям пользователей.

Использование схем управления питанием, как предложенных в вариантах ответов, так и каких-либо других, созданных самим пользователем, не будет полностью удовлетворять желаемым требованиям. Во-первых, при использовании схем управления питанием переход в энергосберегающий режим осуществляется не по требованию пользователя, а по истечении определенного времени простаивания компьютера. Во-вторых, предложенные схемы переводят компьютер в спящий режим: схема Портативная через 3 часа простаивания, схема Экономия батарей – через 45 минут. Как уже было сказано выше, спящий режим не подходит для решения задач данной ситуации. Ответы С и D неправильные. Ответ Е вообще не решает ни одной поставленной задачи – он может использоваться только в качестве крайней меры, когда заряд батареи на исходе. Единственный правильный ответ – ответ В.

Глава 3
Управление ресурсами

В этой главе рассматриваются вопросы администрирования ресурсов – управление разрешениями NTFS и разрешениями общих папок на доступ к файлам и папкам, а также использование автономных файлов.

На экзаменах по операционным системам Windows много вопросов относится к задачам управления доступом удаленных пользователей к ресурсам, расположенным в сети организации. Экзамен по Windows ХР Professional не исключение.

3.1. Разрешения NTFS

Одна из главных причин того, что множество пользователей используют операционные системы Windows 2000 и Windows ХР Professional, а до их появления использовали Windows NT – развитая система безопасности. Частью этой системы является возможность ограничивать доступ к файлам и папкам компьютера путем установки разрешений NTFS (NTFS Permissions).

Что же такое разрешения NTFS? Если заглянуть в справочную систему Windows ХР Professional, можно найти следующее определение: "Разрешение – это правило, связанное с объектом и используемое для управления доступом пользователей к этому объекту". Другими словами, это указание тех действий, которые разрешено или запрещено выполнять над объектом определенному пользователю или группе пользователей.

Само название "разрешения NTFS" говорит о том, что жесткий диск, содержащий объекты, для которых возможно определять такие разрешения, должен использовать файловую систему NTFS.

Примечание

Кроме NTFS в Windows ХР Professional поддерживаются файловые системы FAT и FAT32, которые НЕ предоставляют возможности устанавливать разрешения файловой системы на доступ к объектам. Однако существует возможность установить разрешения общих папок для объектов, предоставленных в общий доступ по сети. Подробнее о файловых системах NTFS, FAT и FAT32 см. гл. 1.

Итак, с помощью разрешений NTFS вы можете определять, какой пользователь или группа пользователей имеют доступ к указанным файлам или папкам и какие действия может с ними выполнять как при доступе по сети, так и локально. Разрешения, которые можно назначить файлам, отличаются от разрешений, устанавливаемых для папок.

Разрешения для папок определяют возможные действия как над самими папками, так и над содержащимися внутри них файлами и папками. В табл. 3.1 перечислены стандартные встроенные наборы разрешений, которые можно установить для папки.

Таблица 3.1. Стандартные разрешения NTFS для папок

Разрешения для файлов имеют те же названия, что и разрешения для папок, и предоставляют схожие возможности, но имеющие некоторые особенности применительно к файлам. Стандартные встроенные наборы разрешений NTFS для файлов представлены в табл. 3.2.

Таблица 3.2. Стандартные разрешения NTFS для файлов

Стандартные встроенные наборы разрешений предназначены для быстрого и удобного предоставления необходимого уровня доступа пользователям и группам. Эти наборы представляют наиболее часто используемые сочетания разрешений. Если требуется более гибкая настройка прав доступа к файлам и папкам, можно предоставить каждому пользователю именно те разрешения, какие ему требуются, изменив стандартный набор. В табл. 3.3 описаны разрешения на доступ к файлам и папкам, составляющие стандартные наборы специальных разрешений.

Таблица 3.3. Специальные разрешения Windows ХР Professional

Если какому-либо пользователю или группе пользователей требуются специальные разрешения, отличающиеся от содержащихся в стандартных наборах, выберите наиболее подходящий набор и затем измените его по своему усмотрению. Состав стандартных встроенных наборов разрешений представлен в табл. 3.4.

Таблица 3.4. Состав стандартных встроенных наборов разрешений

Из таблицы видно, что разрешения Список содержимого папки и Чтение и выполнение включают в себя одни и те же особые разрешения. Но наследуются они по-разному. Разрешение Список содержимого папки наследуется только папками, но не файлами, и отображается только при просмотре разрешений на доступ к папкам. Разрешение Чтение и выполнение наследуется как файлами, так и папками, и всегда отображается при просмотре разрешений на доступ к файлам или папкам.

Кроме того, следует помнить, что группы и пользователи, которым предоставлен полный доступ к папке, могут удалять любые файлы в этой папке, независимо от разрешений на доступ к этим файлам.

Файлы и папки могут наследовать разрешения от родительской папки. По умолчанию наследование включено и любые изменения разрешений доступа к папке распространяются на все вложенные файлы и папки. Наследование разрешений удобно в том случае, если создаваемые внутри какой-либо папки файлы или подпапки должны иметь те же самые разрешения, что и сама папка.

Но если вам надо установить разрешения, отличные от разрешений родительской папки, вы можете отключить возможность наследования. Если вы сделали это для папки, она сама становится родительской для файлов и папок, расположенных в ней. Когда вы отключаете наследование разрешений, система запрашивает у вас, что делать с ранее наследуемыми разрешениями (рис. 3.1).

Рис. 3.1. Перенос или удаление наследуемых ранее разрешений

Если вы хотите оставить наследуемые ранее разрешения или незначительно их изменить, следует нажать кнопку Копировать. Если же вы хотите отменить все используемые ранее разрешения, кроме заданных явно, вам следует воспользоваться кнопкой Удалить.

Вы можете назначить различные разрешения на доступ к какому-либо файлу или папке для учетной записи пользователя и для групп, в которых он состоит. В этом случае при доступе к объекту, для которого у пользователя определены различные разрешения, будут определены действующие разрешения, являющиеся суммой всех назначенных разрешений. Например, если для учетной записи пользователя определены разрешения на чтение для папки, а группе, в которую этот пользователь входит, определены разрешения на запись, то при доступе к этой папке он получит разрешения и на чтение, и на запись.

Но если среди разрешений, составляющих сумму, встречается запрет (deny) на какое-либо действие, этот запрет перекрывает все разрешения (allow) на это и зависимые действия. Например, если пользователю назначить полный доступ к папке, а группе, в которую пользователь входит, поставить запрет на действие "Список содержимого папки", этот пользователь не сможет ни зайти в папку, ни удалить ее, несмотря на имеющийся у него полный доступ. Но, имея разрешения на полный доступ, он может изменить соответствующие разрешения и вернуть себе возможность работать с этой папкой.

В предыдущих версиях Windows действующие разрешения приходилось вычислять "вручную", в Windows ХР Professional появилась возможность быстро выяснить сумму всех разрешений на доступ к файлу или папке (рис. 3.2).

Рис. 3.2. Вычисление действующих разрешений

Единственным неудобством этого инструмента является обманчивый вид элемента для ввода имени группы или пользователя. В нем мигает текстовый курсор, как будто предлагая ввести текст с клавиатуры. Но ввести туда имя можно лишь через нажатие кнопки Выбрать и последующие действия в открывшемся окне.

Кроме того, при назначении разрешений следует учитывать, что разрешения на доступ к файлам имеют приоритет перед разрешениями на доступ к папкам. Если пользователь не имеет доступа к папке, но имеет доступ к файлу, находящемуся внутри этой папки, он сможет работать с ним, используя полный путь к файлу. К примеру, пользователь не имеет доступа к папке d:texts, но имеет доступ к файлу file.txt, который находится внутри этой папки. Тогда, выполнив команду notepad d:textsfiie.txt, пользователь сможет открыть этот файл в текстовом редакторе.

Все указанное выше будет действовать только в том случае, если пользователь имеет привилегию Обход перекрестной проверки (Bypass Traverse Checking). Эта привилегия позволяет пользователю проходить через папки, к которым иначе у него нет доступа, на пути к объекту в файловой системе NTFS или в реестре. Данная привилегия не разрешает пользователю выводить список содержимого папки, а дает возможность только проходить через нее. По умолчанию группа Все (Everyone) имеет эту привилегию.

Примечание

В Windows ХР Professional, в отличие от Windows 2000, группа Все больше не включает в себя группу Анонимный вход.

Для того чтобы просмотреть, назначить или изменить разрешения на доступ к файлу или папке, надо открыть вкладку Безопасность (Security) окна Свойства этой папки или файла. Открывшееся окно (на рис. 3.3 показаны разрешения для папки) позволяет просмотреть, каким пользователям и группам доступ уже разрешен и какие разрешения им предоставлены, а также дает возможность предоставить доступ другим пользователям и группам или изменить уже назначенные разрешения.

Примечание

В Windows ХР Professional вкладка Безопасность может не отображаться. Для того чтобы включить ее отображение, запустите Проводник, в меню Сервис выберите Свойства папки. На вкладке Вид снимите флажок Использовать простой общий доступ к файлам (рекомендуется).

Рис. 3.3. Просмотр разрешений объекта

С помощью кнопки Дополнительно можно вызвать окно, позволяющее устанавливать специальные разрешения, задавать параметры наследования, изменять владельца и просматривать действующие разрешения (рис. 3.4).

Щелкнув два раза по какой-либо строке в списке Элементы разрешений или выбрав строку и нажав кнопку Изменить, можно открыть окно, с помощью которого устанавливаются особые разрешения (рис. 3.5).

У каждого объекта имеется владелец – при создании объекта пользователь, создавший его, автоматически становится его владельцем. В дальнейшем этот статус может получить другой пользователь. Смена владельца может произойти, если:

□ текущий владелец или любой пользователь, имеющий полный доступ к файлу или папке, предоставляет другому пользователю разрешение Смена владельца, после чего тот может в любой момент стать владельцем объекта;

Рис. 3.4. Окно Дополнительные параметры безопасности для Documents and Settings

□ владельцем становится член группы Администраторы независимо от имеющихся прав. После этого любой член группы Администраторы может назначать разрешения на доступ к объекту.

Необходимо понимать, что назначить владельца нельзя, можно только предоставить право пользователю или группе пользователей стать им. Для действительного изменения пользователь, обладающий соответствующими правами, должен явно указать себя владельцем. Для этого следует предпринять следующие шаги:

1. В окне Свойства файла или папки на вкладке Безопасность нажать кнопку Дополнительно.

2. Перейти на вкладку Владелец и выбрать свое имя в списке Изменить владельца на.

3. Если объект – это папка, новый владелец должен установить флажок Заменять владельца субконтейнеров и объектов, для того чтобы стать владельцем всех вложенных папок и файлов.

4. Нажать кнопку ОК.

Рис. 3.5. Настройка особых разрешений

Как видно на рис. 3.4, окно дополнительных параметров безопасности дает возможность настроить аудит безопасности.

Аудит безопасности обеспечивает наблюдение за различными событиями, затрагивающими безопасность. Отображение системных событий необходимо для определения злоумышленников или идентификации попыток несанкционированного доступа к данным системы. Примером события, подлежащего аудиту, является неудачная попытка доступа.

Наиболее общими типами событий для аудита являются:

□ доступ к объектам, таким как файлы и папки;

□ управление учетными записями пользователей и групп;

□ вход пользователей в систему и выход из нее.

Кроме этого, создается журнал безопасности – специальный журнал событий, содержащий сведения о событиях системы безопасности, указанных в политике аудита.

Подробнее об аудите ресурсов и событий см. гл. 7.

Можно намного упростить дальнейшую администраторскую работу по назначению разрешений на доступ к файлам и папкам, предотвратить несанкционированный доступ к информации, облегчить поиск решения в случае возникновения проблем, связанных с разрешениями, если следовать некоторым правилам:

□ не назначайте разрешения отдельным пользователям, а предоставляйте доступ определенным группам. Объединяйте в группы тех пользователей, которым требуется доступ к одним и тем же ресурсам. Если вам, например, понадобится предоставить доступ к общим файлам компании новому пользователю какого-либо отдела, просто добавьте его учетную запись в группу, уже содержащую остальных пользователей из этого отдела. Если потом будет нужно запретить доступ, просто исключите пользователя из группы. Тем самым вы избавите себя от долгих поисков всех папок и файлов, к которым имеет доступ этот пользователь;

□ для облегчения администрирования объединяйте файлы аналогичного содержания в отдельные папки или на отдельные диски. К примеру, можно объединять таким способом файлы приложений, документы, домашние папки пользователей. Для системных файлов выделите отдельный том. Таким образом, вы сможете назначать разрешения на доступ не к отдельным файлам, а целым папкам. Помимо этого, вы облегчите выполнение задач поиска данных и выполнение процедур резервного копирования;

□ предоставляйте пользователям только тот уровень доступа, который необходим им для работы. Это уменьшит вероятность случайного или намеренного удаления или повреждения важной информации;

□ явно запрещайте доступ только в том случае, если требуется предотвратить выполнение конкретных действий определенному пользователю или группе пользователей;

□ пользуйтесь возможностью наследования разрешений, начинайте назначать разрешения с верхних уровней каталогов;

□ не запрещайте группе Все доступ к системным файлам и папкам. Иначе вы просто не сможете работать с операционной системой;

□ назначьте полный доступ к общим папкам группе Создатель-владелец, если вы хотите, чтобы пользователи могли сами выдавать разрешения на доступ к созданным ими файлам.

При копировании или перемещении файлов и папок, разрешения, назначенные для доступа к ним, могут измениться, создавая проблемы тому, кому необходимо работать с этими данными, или наоборот, предоставляя доступ для тех, кто не должен его иметь. Чтобы избежать подобных проблем, необходимо понимать, что происходит с разрешениями при копировании и перемещении файлов и папок.

Когда вы копируете файлы и папки с одного тома NTFS на другой, или в пределах одного тома, разрешения изменяются в соответствии с установленными разрешениями на том томе или папке, куда происходит копирование.

При этом Windows ХР Professional рассматривает копию как новый файл, а вы становитесь его создателем и владельцем. Конечно, при условии, что у вас есть разрешение на запись.

Если вы копируете данные на устройство с файловой системой FAT или FAT32, все разрешения теряются, поскольку эти системы не поддерживают такую возможность.

При перемещении файлов и папок разрешения, установленные для них, могут меняться или оставаться прежними в зависимости от того, куда происходит перемещение.

При перемещении в пределах одного тома NTFS следует учитывать следующее:

□ файл или папка сохраняет первоначальные разрешения;

□ вы должны иметь разрешение на запись для места назначения;

□ вы должны иметь разрешение на изменение для перемещаемого файла или папки, так как после переноса файла на место назначения происходит удаление первоначального объекта;

□ вы становитесь создателем и владельцем.

При перемещении файла или папки между томами NTFS наследуются разрешения той папки, которая является местом назначения. Остальные замечания, относящиеся к перемещению в пределах одного тома, остаются в силе и для перемещения между томами.

Утилита командной строки CACLS (Control ACLs, управление таблицами доступа) позволяет просматривать и редактировать разрешения в Windows ХР Professional и Windows ХР Home Edition. И еще одна утилита, XCACLS (Extended CACLS, расширенное управление таблицами доступа) находится в архиве SupportToolssupport.cab на установочном диске Windows ХР Professional.

Для любителей повозиться с командной строкой приводим справку по использованию команды cacls (листинг 3.1).

Листинг 3.1. Использование утилиты cacls