Windowsのセキュリティ機能
Windowsの全てのユーザアカウント、コンピュータアカウント、グループアカウントのように認証やアクセス制御の対象となる主体の事をセキュリティプリンシパルといい、WindowsのセキュリティプリンシパルにはSID(Security Identifier、セキュリティ識別子)、GUID(Globally Unique Identifier、グローバル一意識別子)という2つの固有識別子が割り振られている。
SID、GUIDはいずれもユーザアカウントを識別するためのものだが、以下のような特徴と違いがある。まずSIDはActive Directoryドメイン(後述)で一意な識別子でアクセス制御などに使われる。SIDはユーザ名やコンピュータ名を変更してもSIDは変更されない。また異なる2つのマシンで同一のユーザ名のアカウントを登録した場合、それら2つのマシンのアカウントのSIDは互いに異なる。
しかしユーザの所属するドメインが変更になった場合はSIDも変更になる。そこでドメインが変更になってもアカウントを一意に識別できるように作られたのがGUIDである。
WebDAV(Web-based Distributed Authoring and Versioning、ウェブダブ)はマイクロソフトが開発したHTTP拡張で、「ファイル システムなどの格納媒体を HTTP 接続で使用可能にする、HTTP 1.1 規格の拡張機能」で、WebサーバのIISなどに実装されている。WebDEVでは以下のアクセス権を設定できる:
ディレクトリおよびファイルとそのプロパティの検索
ディレクトリおよびファイルとそのプロパティの作成、変更、削除、および参照
ファイルおよびディレクトリのカスタム プロパティの保存および検索
共同作業環境でのファイルのロック
共有フォルダ(SMB・CIFSによるファイル共有)ではNTFS DACLとは別のACLにより共有アクセスのアクセス権を制御しており、このACLで付与されたアクセス権を共有アクセス権という。共有アクセス権は「共有フォルダのプロパティ>共有>詳細な共有」で設定可能。共有アクセス権とNTFS DACLのアクセス権が競合している場合は両者とも許可の場合のみアクセスが許可される。
Windows Server 8では任意アクセス制御であるDACLの他に強制アクセス制御であるCentral Access Policy(集約型アクセス ポリシー)が実装されている。
AzureではAzure RBACというロールベースアクセス制御が導入されている。
マイクロソフト > Windows > Windowsのセキュリティ機能
セキュリティ > サイバーセキュリティ・情報セキュリティ > Windowsのセキュリティ機能
本稿ではWindowsのセキュリティ機能(ウィンドウズのセキュリティきのう)について記述する。本稿ではMicrosoft Windows本体のみならず、Active DirectoryやWSUSなどWindowsと連携するサーバソフト等が提供するセキュリティ機能も説明するものとする。
ドメイン内のアカウントの信頼関係はドメインコントローラーが制御する。
同一ドメイン・ツリー内の各ドメイン間には双方向かつ推移的な信頼関係が結ばれる。よってドメイン・ツリー内の他ののドメインのリソースへもアクセス可能になる。
同一フォレスト内の各フォレストツリーも双方向かつ推移的な信頼関係が結ばれている。
フォレスト間の信頼(クロスフォレスト信頼)は、一方向の信頼関係も双方向の信頼関係も築ける。また信頼関係は推移的にも非推移的にもできる。なおデフォルトは双方向かつ推移的な信頼である。ただし、ドメインコントローラーのレプリケーションがフォレストをまたいで行われる事はない。