Безопасность DFS. Списки управления доступом.
Помимо стандартных разрешений (permissions) файловой системы NTFS и прав доступа к общим ресурсам, служба DFS не пользуется никакими дополнительными средствами обеспечения безопасности.
При обращении пользователя к информации в пространстве логических имен DFS учитываются только права доступа к конкретным репликам (общим папкам), связанным с этими именами. Права доступа определяются в первую очередь списками управления доступом, о которых говорится ниже. При создании ссылок DFS или новых реплик в структуре доменного корня DFS учитываются разрешения в каталоге Active Directory, установленные для соответствующих объектов.
Таким образом, права доступа на уровне файлов не зависят от структуры дерева DFS. Например, пользователи могут иметь необходимые права, позволяющие им обращаться к репликам, связанным со ссылками DFS, не имея Доступа к информации, представляющей корень пространства имен DFS.
Списки управления доступом
Списки управления доступом (ACL) определяют права доступа пользователей к общим ресурсам сети. Их администрирование выполняется на уровне физического общего ресурса. По ряду причин система безопасности, основанная на едином списке управления доступом, администрирование которого выполнялось бы от корня DFS в масштабах всей системы, не была бы эффективна.
Пользователи могли бы обойти централизованную логическую базу списков управления доступом, выполнив команду net use и подключившись к папке, находящейся на более низком уровне, чем корень и, даже, ссылка DFS. Кроме того, логическое имя DFS может быть связано с несколькими общими ресурсами, часть которых находится в разделе FAT, a другие – в NTFS, а также в иных сетевых операционных системах.
Эти и другие факторы делают предпочтительным использование списков управления доступом, определяющих политику обращения к конкретному общему ресурсу, а не ко всему дереву DFS в целом.