Windows 组和权限:Authenticated Users 组含义

信息安全 视窗 窗口权限 组策略
2021-08-28 05:30:19

Windows 中“Authenticated Users”组的用途是什么?在 Linux 下它不存在,我开始认为这是 Windows 操作系统的另一个特质或过度设计。

原因如下:

假设我想知道用户 Mike 在磁盘 C:\ 上的权限,我将输入:

net user mike

并将被退回:

User name                    mike
Full Name                    
Comment                      
User's comment               
Country code                 000 (System Default)
Account active               Yes
Account expires              Never

Password last set            7/13/2013 7:55:45 AM
Password expires             Never
Password changeable          7/13/2013 7:55:45 AM
Password required            Yes
User may change password     Yes

Workstations allowed         All
Logon script                 
User profile                 
Home directory               
Last logon                   7/13/2013 7:53:58 AM

Logon hours allowed          All

Local Group Memberships      *Users            
Global Group memberships     *None

因此,我假设用户 mike 仅属于用户组,因此我将通过右键单击磁盘 C 来检查安全选项卡,并会看到属于“用户”组的用户无法修改磁盘 c,而只能读取它。

然而令人惊讶的是,用户 mike 将能够写入 C:\ !!! 为什么?因为命令 net 不知道,但 mike 也属于 Authenticated Users 组,该组有权在 C: 上写入!!

有人可以确认上述故事,评论它是否有任何意义,或者我怀疑这是一个过度设计的案例,并详细说明其背后的原因?

编辑:

请注意,如果我创建一个新组并将用户 mike 添加到其中,net 命令会正确显示组。

 net localgroup testgroup /add
 net localgroup testgroup mike 
 net user mike

返回

[*]
Local Group Memberships      *Users     *testgroup       
Global Group memberships     *None
3个回答

Windows 中有许多特殊的组。其中包括Authenticated Users, Interactive Users, Everyone, 等。如今,对于大多数用途而言EveryoneAuthenticated Users它们实际上是等效的,但如果您有 2003 年之前的域级别域,那将是不正确的。

无论如何,没有办法观察这些团体的成员身份。从某种意义上说,成员资格是在处理 SACL 或 DACL 时计算的。

也就是说,对我来说,您将文件系统中的权限分配给经过身份验证的用户似乎很奇怪,尤其是C:\. 更合适的设置是,Interactive Users或者,如果您要锁定工作站,则为只读。

根据微软的说法,这两者的技术定义是:

认证用户:

通过登录过程访问系统的任何用户都具有 Authenticated Users 身份。此身份允许访问域内的共享资源,例如组织中的所有工作人员都应该可以访问的共享文件夹中的文件。

每个人:

所有交互式用户、网络用户、拨号用户和经过身份验证的用户都是 Everyone 组的成员。这个特殊的身份组提供对系统资源的广泛访问。

您可以在此处与所有其他人一起找到这些: http ://technet.microsoft.com/en-us/magazine/dd637754.aspx

经过身份验证的用户的确切含义是 -已通过系统身份验证的任何所有用户。那将是作为本地系统上任何成员的任何用户

由于 Mike 是用户的成员,因此他本质上是经过身份验证的用户。

在域环境中,这将是任何认为是其成员的用户的任何域上的基团。

因此,如果文件系统是 NTFS 并且 Mike 在一个组中被拒绝写入权限,那么他应该在所有组中被拒绝写入权限,因为拒绝会覆盖允许。因此,如果在用户组中选中了拒绝框以进行写入或其他任何操作,那么从伪组 Authenticated Users 给予 Mike 的访问权限并不重要。我明白你为什么不显示所有组并且不能比其他组更多地回答这个问题,但至少你知道有人不会通过使用拒绝获得特定权限。