Windows下ACL权限介绍

Windows访问控制概述：
Windows访问控制中最主要的部分：访问令牌（Access Token）和安全描述符（Security Descriptor），window通过查看访问者AT与被访问对象SD中的内容来确定访问者是否能访问对象。

Windows访问控制概念介绍：
① SID：Secure Identifier(安全标识符)，每个用户和账户组都有一个唯一的SID（通常情况下唯一）。它是标识用户、用户组和计算机账户唯一的号码，由计算机名、当前时间、当前用户态线程的CPU耗费时间三个参数来确定。
② Access Token:与特定的windows账户关联，账户环境下启动的所有进程都会获得该令牌的副本，进程中的线程默认获得这个令牌。由关联账户的SID、当前登录账户所属组的SID列表、受限制的SID列表、当前登录账户与所属组的Privilege列表组成。
③ Security Descriptor:安全描述符，与被访问对象关联。由对象所有者的SID、属组SID、DACL、SACL组成。DACL（随机访问控制列表）是SD最重要的一部分，描述允许或拒绝特定用户或组的某些访问权限，它包含零个或多个访问控制实体（ACE，Access Control Entry）。
④ ACE：访问控制实体，用于指定特定用户/组的访问权限，由SID、SIZE、Type、Access Mask、Inheritance/Audit Flags组成。

Windows访问控制流程图：
当一个线程尝试去访问一个对象时，系统会检查线程持有的令牌以及被访问对象的安全描述符中的DACL。
如果安全描述符中不存在DACL，则系统会允许线程进行访问。如果存在DACL，系统会顺序遍历DACL中的每个ACE，检查ACE中的SID在线程的令牌中是否存在。以访问者中的User SID或Group SID作为关键字查询被访问对象中的DACL。顺序：先查询类型为DENY的ACE，若命中且权限符合则访问拒绝；未命中再在ALLOWED类型的ACE中查询，若命中且类型符合则可以访问；以上两步后还没命中那么访问拒绝。