Access Control List

aus Wikipedia, der freien Enzyklopädie
Muster einer ACL

Eine

Access Control List

(kurz

ACL

, englisch für Zugriffssteuerungsliste, kurz ZSL[1]) ist eine Software-Technik, mit der Betriebssysteme und Anwendungsprogramme Zugriffe auf Daten und Funktionen eingrenzen können. Eine ACL legt fest, in welchem Umfang einzelne Benutzer und Systemprozesse Zugriff auf bestimmte Objekte (wie Dienste, Dateien, Registrier-Einträge usw.) haben.

Im Unterschied zu einfachen Zugriffsrechten sind ACLs feiner einstellbar. So können etwa bei Windows mit ACLs für eine Datei für mehrere Benutzer und mehrere Gruppen unterschiedliche Rechte vergeben werden, während bei Linux mit einfachen Zugriffsrechten nur die Rechtevergabe für einen Benutzer, eine Gruppe und den „Rest der Welt“ möglich ist.

Unix und Linux

In der Unix-Welt versteht man unter Access Control List eine Erweiterung der klassischen Zugriffssteuerung auf Ebene des Besitzer-Gruppe-Welt-Modells. Auf diese Weise lassen sich Zugriffsrechte spezifisch für einzelne Benutzer zuteilen oder verbieten. Viele Unix-Implementierungen wie z. B. Solaris, IRIX und HP-UX führten Anfang bis Mitte der 1990er Jahre Unterstützung für ein sehr ähnliches, als Erweiterung des klassischen Unix-Zugriffsrechtemodells konzipiertes ACL-Modell ein, und es wurde versucht, dieses ACL-System unter POSIX-1003.1e zu standardisieren. Der dazugehörige Standard-Entwurf (Normen-Entwurf) wurde jedoch im Oktober 1997 zurückgezogen.

Mitte 2000 wurde damit begonnen, POSIX-1003.1e ACLs in FreeBSD und Linux zu implementieren. Mittlerweile bieten AIX, HP-UX, Linux, FreeBSD, TrustedBSD, Solaris, Trusted Solaris und IRIX native Unterstützung für die zurückgezogenen POSIX-1003.1e-ACLs.

Unter Linux unterstützen dabei die Dateisysteme Btrfs, ext2, ext3, ext4, JFS, XFS und ReiserFS POSIX-1003.1e ACLs vollständig. Auf der Kommandozeile verwaltet man die ACLs typischerweise mit den Befehlen getfacl und setfacl. Mit der KDE-Version 3.5 steht auch der Dateimanager Konqueror mit nativer POSIX-1003.1e ACL-Unterstützung zur Verfügung. Für die Desktop-Umgebung Gnome beherrscht der Dateimanager Nautilus ab Version 2.16 nativ POSIX-1003.1e ACLs. POSIX-1003.1e ACLs werden in Linux statisch vererbt, d. h. die Berechtigungen pflanzen sich in neu angelegte Unterverzeichnisse und Dateien je nach Bedarf fort. Wird die ACL eines übergeordneten Verzeichnisses geändert, hat dies jedoch keinen Einfluss auf die darunterliegende Struktur.

Mit RFC 3010 (NFSv4) wurde im Dezember 2000 ein neuer auf dem ACL-System des NFS basierender ACL-Standard etabliert. Solaris, AIX und macOS unterstützen mittlerweile diesen Standard. Das Dateisystem ZFS unterstützt ausschließlich NFSv4 ACLs.

Microsoft Windows

Zum Ändern (englisch ‚change‘ genannt) und Anzeigen der ACLs wurde ab Windows NT 3.5 der (von Cmd unabhängige) Befehl cacls(.exe)[2] eingeführt.

Unter Windows NT 4.0 wird jedem Betriebssystemobjekt (Datei, Prozess usw.) ein sogenannter Zugriffskontroll-Deskriptor zugeordnet, der eine ACL enthalten kann. Ist keine ACL vorhanden, so erhält jeder Benutzer Vollzugriff auf das Objekt. Ist die ACL vorhanden, aber leer, so erhält kein Benutzer Zugriff. Eine ACL besteht aus einem Header und maximal 1820 Access Control Entries (ACE).[3] Ein ACE enthält jeweils die Information, ob einem Benutzer oder einer Benutzergruppe eine bestimmte Zugriffsart erlaubt (englisch

allow

) oder verweigert (

deny

) werden soll. Der Windows-Explorer schreibt die Einträge, die Zugriff verweigern, an den Anfang der ACL. Fordert nun ein Benutzer Zugriff auf ein Objekt an, so geht der Windows Object Manager die Liste von Anfang an durch. Sobald Einträge für alle angeforderten Rechte gefunden wurden, erlaubt oder verweigert der Object Manager entsprechend den Zugriff. Trifft der Object Manager beim Durchgehen der Liste auf einen Eintrag, der den Zugriff verweigert, wird die Suche abgebrochen und der Zugriff auf das Objekt verweigert.

Bei Windows NT bis Version 4.0 werden ACL statisch vererbt, ab Windows 2000 geschieht dies auf Wunsch dynamisch. Wird die ACL eines übergeordneten Verzeichnisses geändert, so hat dies je nach gewählter Vererbung Auswirkungen auf die darunterliegende Verzeichnisstruktur.

Mit Windows Server 2003 wurde der erste cacls-Befehl durch dessen Nachfolger icacls(.exe) ergänzt und damit auch der vorherige Befehl als „veraltet“ bezeichnet.[4] Zudem wurde zuvor, ab Windows 2000, jedoch allein (wahlweise) in den dort sogenannten Support Tools und im Resource Kit enthaltend, der (bisher allein englischsprachige) xcacls-Befehl ergänzt, welcher auch das Ändern des Besitzers (einer Datei oder eines Ordners) beherrscht.[5][6][7][8]

Andere Systeme

  • Multics unterstützt als Erstes ACLs seit 1965.[9]
  • macOS unterstützt ACLs ab Mac OS X Tiger (10.4, 2005).
  • Das Betriebssystem OpenVMS von HP (ursprünglich DEC) unterstützt auch ACL; deren Einträge heißen ACE.
  • Bei Ciscos Betriebssystem IOS bezeichnen ACL unter anderem Paketfiltereinstellungen.
  • Bei einer Reihe von Webanwendungen werden ACL benutzt, um den Zugriff auf einzelne Seiten oder Bereiche auf bestimmte Benutzer oder Benutzergruppen einzuschränken, so bei einigen Wikis (etwa DokuWiki) und CMS (etwa eZ Publish).
  • SAP setzt bei vielen seiner Anwendungen ebenfalls ACL zur detaillierten Benutzerberechtigung ein, z. B. in der Collaborations-Software cFolders (siehe cProjects) oder dem SAP Easy Document Management.
  • Bei einem LDAP-Verzeichnis kann je nach Hersteller eine ACL den Zugriff auf Attribute oder (LDAP-)Container zulassen oder verweigern.

Siehe auch

Weblinks

Quellen

  1. ↑ Martin Grotegut: Windows Vista, Springer Science+Business Media, S. 10.
  2. ↑ … die Erweiterung hier in Klammern, da diese beim Aufruf nicht zwingend angegeben werden muss …
  3. ↑ Maximum Number of ACEs in an ACL in der Microsoft Knowledge Database, 20. September 2003.
  4. ↑ icacls – bei Microsoft Docs, am 21. August 2018; dort u. a. mit dem Hinweis: „Dieser Befehl ersetzt den veralteten cacls-Befehl.“; das ist auch spätestens (und so wenigstens) mit (einem deutschsprachigen) Windows 7 nachprüfbar, über die eigene Hilfe des cacls-Befehls, welche beispielsweise ausgegeben wird, wenn allein der Befehl (also ohne Übergabewerte) aufgerufen wird; auf einem englischsprachigen Windows wird an der betreffenden Stelle wahrscheinlich deren Wort ‚deprecated‘ genannt
  5. ↑ Windows 2000 – Wie die geheimen Support Tools Ihr Leben erleichtern – Windows Tweaks, am 29. November 2013; dort einleitend mit „Seit Windows 2000 finden sich die so genannten Support Tools auf der Original-CD unter Support\Tools.“ und im Folgenden u. a. auch mit ‚xcacls.exe‘
  6. ↑ Xcacls Overview (englisch) – bei Microsoft Docs, am 8. Oktober 2009
  7. ↑ XCACLS.exe (NT 4 Resource Kit, Windows XP and 2003) (englisch); abgerufen am 16. November 2020; dort u. a. mit ‚Take Ownership (Special access)‘, (wörtlich) übersetzt also: „Eigentum übernehmen (Sonderzugang)“
  8. ↑ How to use Xcacls.exe to modify NTFS permissions (englisch) – bei it's notes, am 22. August 2014; dort u. a. mit ‚The Xcacls.exe utility is included in the Windows 2000 Resource Kit. The Xcacls.exe utility is also included in the Windows Server 2003 Support Tools.‘, übersetzt: „Das Dienstprogramm Xcacls.exe ist im Windows 2000 Resource Kit enthalten. [Es] ist auch in den Windows Server 2003-Supporttools enthalten.“
  9. ↑ Richard E. Smith: Elementary Information Security, Jones & Bartlett Learning, S. 150.
Abgerufen von „https://de.wikiup.org/index.php?title=Access_Control_List&oldid=213527873“