Access Control Entry (ACE) — Access Control List ichidagi bitta qoida bo‘lib, ma’lum principal uchun ruxsat yoki taqiqni ifodalaydi. Principal foydalanuvchi, guruh, xizmat, tarmoq prefiksi yoki maxsus “owner” va “everyone” identifikatori bo‘lishi mumkin. ACE qaysi amallarni qamrashi, qanday meros bo‘lishi va allow yoki deny ekanini saqlaydi.
Asosiy maydonlar
Fayl tizimidagi ACE odatda principal identifikatori, read/write/execute kabi permission mask, turi va inheritance flaglardan iborat. Tarmoq muhitida yozuv manba va manzil, protokol, port oralig‘i, yo‘nalish hamda actionni qamrab oladi. Bulut siyosatida resurs patterni va shartlar ham bo‘lishi mumkin.
| Maydon | Vazifasi |
|---|---|
| Principal | qoida tegishli subyekt |
| Permission | ruxsat etilgan yoki taqiqlangan amal |
| Effect | allow yoki deny |
| Scope | qaysi resurs va avlodlarga tatbiq |
| Condition | qo‘shimcha kontekst sharti |
Bir xil ko‘ringan ACE turli platformada boshqa semantikaga ega bo‘lishi mumkin, shuning uchun baholash algoritmi ham hujjatlashtiriladi.
Allow va deny
Explicit deny odatda keng guruh orqali kelgan allowdan ustun qo‘yiladi. Bu maxsus istisno yaratishga yordam beradi, ammo ko‘p deny yozuvi effective permissionni tushunishni qiyinlashtiradi. Ayrim tizimlar qoidalarni tartib bo‘yicha, boshqalari esa avval explicit, keyin inherited va deny ustuvorligi bilan hisoblaydi.
“Not configured” deny bilan bir xil bo‘lishi mumkin, agar ACL oxirida implicit default deny mavjud bo‘lsa. Default allow ishlatiladigan eski tizimda esa yozuv yo‘qligi ruxsatga olib keladi. Xavfsizlik tahlilida shu boshlang‘ich semantika aniq tekshiriladi.
Meros bayroqlari
Katalogga berilgan ACE yangi fayl va quyi kataloglarga meros bo‘lishi mumkin. File-inherit va directory-inherit kabi bayroqlar qaysi turdagi avlodga tarqalishini belgilaydi. Inherit-only yozuv ota obyektning o‘ziga emas, faqat avlodiga tatbiq etiladi. No-propagate merosni bir daraja bilan cheklaydi.
Obyekt ko‘chirilganda yangi ota ACLini meros olishi yoki eski explicit yozuvlarini saqlashi platforma va amalga bog‘liq. Shu sabab maxfiy papkaga ko‘chirish ruxsatlarni avtomatik xavfsiz holga keltiradi deb taxmin qilinmaydi.
Principal va identifikator
ACE ko‘pincha ko‘rinadigan nomga emas, barqaror SID, UID yoki boshqa identifikatorga bog‘lanadi. Foydalanuvchi o‘chirilganda yozuv egasiz identifikator sifatida qolishi mumkin. Nomni qayta ishlatish eski ruxsatni yangi hisobga tasodifan bermasligi uchun identifikatorlar qayta tayinlanmaydi.
Guruh ACEsi boshqaruvni soddalashtiradi, ammo effective permissionni aniqlashda barcha to‘g‘ridan-to‘g‘ri va ichma-ich guruh a’zoligi hisoblanadi. Katalog keshidagi eskirgan a’zolik vakolat bekor qilinishini kechiktirishi mumkin.
Tekshirish va o‘zgarish
ACE tahriri resurs egasi yoki vakolatli administrator orqali bajariladi. O‘zgarishdan oldin joriy ACL nusxasi va qaytarish yo‘li saqlanadi. Avtomatlashtirish desired state bilan solishtirib, ruxsatsiz ACE qo‘shilishini aniqlaydi.
Test faqat ro‘yxatda yozuv mavjudligini emas, haqiqiy principal bilan amal bajarilishini tekshiradi. Deny, meros, guruh a’zoligi va kesh kombinatsiyasi kutilmagan natija berishi mumkin. Audit yozuvi kim qaysi ACEni qachon va nima sabab o‘zgartirganini ko‘rsatadi.
Minimal yozuv tamoyili
Har istisno uchun yangi user ACE qo‘shish ro‘yxatni tez kattalashtiradi. Barqaror vazifalar guruh orqali, vaqtinchalik kirish esa expiryga ega boshqaruv jarayoni orqali beriladi. Eski explicit deny va takroriy allowlar tozalanganda avval effective permission modeli hisoblanadi; ko‘rinishidan ortiqcha yozuv boshqa meros qoidasini cheklab turgan bo‘lishi mumkin.
Bog‘liq tushunchalar
Access Control List, File permission, Principal, Authorization, Inheritance, Security identifier, Default deny