представлять, какая именно активность приложений, разрешенная ранее, ограничивается в обновленной модели безопасности. В обыденном смысле (не в терминах разработчиков программ) право Impersonate a client after authentication» означает, что программы или службы, запускаемые после того, как вы зарегистрировались в системе, могут работать от вашего имени. Для этого программа или служба должны уметь использовать параметры учетной записи зарегистрировавшегося пользователя, а не параметры своей собственной регистрации в системе. Многие службы Windows 2000 регистрируются с использованием локальной учетной записи System. Когда пользователь посылает запрос на сетевое подключение, служба, ответственная за реализацию запроса, использует параметры регистрации пользователя для формирования запроса к сетевому ресурсу. Нечто похожее происходит и с терминальным клиентами. В Windows 2000 SP3 и более ранних версиях операционной системы программы и службы не требовали явного права на функционирование от имени клиента; после установки SP4 это необходимо делать.

Второе новое право, появившееся в SP4, — это Create global objects, направленное на усиление безопасности при работе клиентов с терминальным сервером Windows 2000 Server Terminal Services. Понять, когда нужно устанавливать это право для учетных записей клиентов Terminal Services труднее, так как это право не является обязательным для объектов сессии, а нужно только программам, которые создают глобальные объекты. Я не смогла отыскать понятного описания, в каких случаях клиент Terminal Services нуждается в праве создавать глобальные объекты, вероятно, потому, что это решающим образом зависит от того, какие программы запускает клиент терминального сервера.

Поделитесь материалом с коллегами и друзьями