Симон Робинсон - C# для профессионалов. Том II

caspol.exe -resolveperm http://intranet/assembly.dll

Microsoft (R) .NET Framework CasPol 1.0.xxxx.x

Copyright (c) Microsoft Corp 1999-2001. All rights reserved.

Resolving permissions for level = Enterprise

Resolving permissions for level = Machine

Resolving permissions for level = User

Grant =

version="1"

Read="USERNAME;TEMP;TMP" />

version="1"

Unrestricted="true" />

version="1"

Allowed="AssemblyIsolationByUser"

UserQuota="9223372036854775807"

Expiry = "9223372036854775807"

Permanent="True" />

version="1"

Flags="ReflectionEmit" />

version="1"

Flags="Assertion, Execution, RemotingConfiguration" />

version="1"

Unrestricted="true" />

version="1">

version="1"

Unrestricted="true"/>

version="1"

Level="DefaultPrinting" />

version="1">

version="1"

Site="intranet" />

version="1"

Url="http://intranet/assembly.dll" />

version="1"

Zone="Intranet" />

Success

Этот вывод показывает каждое из полномочий в виде кода XML, включая определяющий полномочие класс, содержащую класс сборку, версию полномочия и признак шифрования. Вывод предполагает, что можно создать свои собственные полномочия, больше об этом будет сказано позже. Можно также видеть, что каждое из полномочий идентичности содержит более подробную информацию, скажем, о классе UrlIdentityPermission, предоставляющем доступ к URL кода.

Отметим, что в начале вывода caspol.exeразрешает полномочия на уровнях Enterprise, Machineи Userи затем перечисляет действующие представленные права. Теперь перейдем к этому вопросу.

До сих пор безопасность рассматривалась в контексте одной машины. Часто необходимо определить политику системы безопасности для определенных пользователей или для всей организации, и именно поэтому .NET предоставляет не один, а три уровня групп кода:

□ Machine (Машина)

□ Enterprise (Предприятие)

□ User (Пользователь)

Уровни групп кода управляются независимо и существуют параллельно:

Если существует три вида политики безопасности, как узнать, какая применяется? Действующим полномочием является пересечение полномочий трех уровней. Каждый из трех уровней имеет возможность запретить права, предоставленные другими,— это хорошая весть для администраторов, так как их настройки будут переопределять настройки пользователя.

Для работы с группами кода и полномочиями на уровнях пользователя или предприятия с помощью caspol.exeдобавьте либо аргумент enterprise, либо аргумент user, чтобы изменить режим команды, caspol.exeработает по умолчанию на уровне Machine; таким образом эта утилита до сих пор и использовалась. Просмотрим группы кода, перечисленные на уровне User:

caspol.exe -user -listgroups

Так выглядит вывод команды при установке по умолчанию:

Security is ON

Execution checking is ON

Policy change prompt is ON

Level = User

Code Groups:

1. All code: FullTrust

Success

Теперь выполним ту же самую команду, но в этот раз, чтобы увидеть группы кода на уровне Enterprise:

caspol.exe -enterprise -listgroups

Вывод команды выглядит так:

Security is ON

Execution checking is ON

Policy change prompt is ON

Level = Enterprise

Code Groups:

1. All code: FullTrust

Success

Как можно видеть, по умолчанию оба уровня, Userи Enterprise, конфигурируются с предоставлением FullTrustдля единственной группы кода All Code. В результате этого настройка по умолчанию для системы безопасности .NET не налагает никаких ограничений на уровне пользователя или предприятия, и реализованная политика диктуется исключительно политикой уровня машины. Например, если требуется применить более строгое полномочие или множество полномочий к уровню пользователя или предприятия, эти ограничения будут налагаться на все полномочия и, возможно, переопределять права на уровне машины. Действующие полномочия являются пересечением, поэтому, например, если необходимо применить FullTrustк группе кода, это полномочие должно быть присвоено группе кода на каждом из трех уровней политики.

При выполнении caspol.exeадминистратором по умолчанию используется уровень машины, но если выйти из системы и зарегистрироваться как пользователь, который не принадлежит группе пользователей Administrator, caspol.exeвыберет по умолчанию уровень пользователя. Кроме того, caspol.exeне позволит изменить политику безопасности таким образом, чтобы сделать саму утилиту caspol.exeнеработоспособной.