Организация контроля доступа к файлам в ОС Windows NT

Windows NT поддерживает три класса операций доступа, которые отличаются типом субъектов и объектов, участвующих в этих операциях.

Разрешения — это множество операций, которые могут быть определены для субъектов всех типов (пользователей, групп пользователей) по отношению к объектам любого типа (файлам, каталогам, принтерам, секциям памяти и т. д).

Права — определяются для субъектов типа группа на выполнение некоторых системных операций: установку системного времени, архивирование файлов, выключение компьютера и т. п. Именно права, а не разрешения отличают одну встроенную группу пользователей от другой.

Возможности пользователей определяются для отдельных пользователей на выполнение действий, связанных с формированием их операционной среды, например изменение состава главного меню программ, возможность пользоваться пунктом меню Run (выполнить) и т. п. За счет уменьшения набора возможностей (которые по умолчанию доступны пользователю) администратор может «заставить» пользователя работать с той операционной средой, которую администратор считает наиболее подходящей и ограждающей пользователя от возможных ошибок.

Разрешения на доступ к каталогам и файлам – это возможность применить к ним одно из действий: читать; удалять; писать; выполнять; стать владельцем

В Windows администратор может управлять доступом пользователей к каталогам и файлам только в разделах диска, в которых установлена файловая система NTFS. Разделы FAT не поддерживаются средствами защиты Windows NT, так как в FAT у файлов и каталогов отсутствуют атрибуты управления доступом. Доступ к каталогам и файлам контролируется за счет установки соответствующих разрешений.

Существует правило, которое определяет действие разрешения. Пользователи не могут работать с каталогом или файлом, если они не имеют явного разрешения на это или же они не относятся к группе, которая имеет соответствующее разрешение.