権限＝プロセスを実行したユーザー？

質問

権限＝プロセスを実行したユーザー？
ウィンドウズNTのセキュリティについて調べています。
権限という言葉がよくでてきますが、それはつまりそのプロセスを起動したユーザーということですか？
そして特権についてですが、特権はシステム関連の操作を行う権利で、特権によってはデフォルトでオフになっているものもある、という考えであっているでしょうか。
そして、「そもそも権限が足りないから特権をONにできない」という様な記述をみたのですが、ということは、権限によって持っている特権が決まるということですよね？
またこの権限は昇格させられますか？

という事で、質問したい点は

・権限とは？
・特権のON、OFFについて
・特権と権限の関係
・権限は昇格させられるか？

の４つです。
どれか１つでもので回答よろしくお願いします。

回答No.1

0909union · ベストアンサー

＞それはつまりそのプロセスを起動したユーザーということですか

ケースバイケースです。プロセスやアプリケーションの起動の事についての記事であれば、その通りです。

オブジェクトへのアクセス権（ファイルやフォルダーのアクセス権が有るもの）。OS操作への権限（グループや、特殊サービス操作権（プロセスとは違う））。など、それぞれの権限があり特定されるものでない。

たぶん、これを聞いて来たと言う事はその読んだ文献が何について記載されているのか、全く把握していないのでしょう。

よく間違えるのがプログラム開発とシステム構築の文献。

プログラム開発は、時として（特にマイクロソフト関係）、翻訳のまま記載されていることが多く、勘違いしやすく使われている。いい語訳がないのでしょう。「権限」の一言でかたずけている。日本語でいえば、「はい」と同じです（肯定でも否定でも使われる）。英語訳だと「Yes」だが、「はい、違います」と言う会話が成り立つ。

その事を踏まえて、「特権」とある記事のチャプターでは「実行権」の話をしている。これは、「OSの操作権」とも「ファイルなどのアクセス権」ともからむ話だが、通常、システムへの状態変更、アクセス制御が掛かったオブジェクトや領域へアクセスするための権限には、管理者権限とか、特殊な権利を有する。

システム管理書では、この「オブジェクトや領域へアクセスするための権限」の話をしており、「プログラム開発」では「実行権」の事。

こう考えれば、わかりやすい。

・権限とは、いくつかの特権の塊が権限を形成する。

特権その１。システムをダウンする　（クライアントOSだとevryoneに与えられている）
特権その２。ユーザーのオブジェとを奪い取ることができる。
特権その３。ユーザーを作成できる。

これらを集めて固めたのが

権限：神様

となる。マイロソフトではAdministrator、UNIX系では rootの事を指す。

このやり方は、OSやデーターベースなどツリー構造を必要とするシステムではほとんどこれである。会社組織もそうですね。

社長の最高権限は、人事権にある。これは特権なのだろうか？　この特権は、人事部長にもあるし、最下位の係長にもある。これは権限の委譲が行われているからである。あなたは、「制限付きで人事権を与えます」と言う感じですかね。

この特権を沢山持っていて、最終執行者がCEOですよ。他の方は、これらの特権のいくつかしかもっていなく、CEOの権限で、特権を与えられているに過ぎない。

実際の会社の仕組みに合わせると、酷似しているのでよくわかるはずです。

これであと残った質問は、権限は昇格させれれるか。できます。先ほども実社会で例を示しましたが、最高責任者が、あなたは今日からCEOです。と言ったらCEOです。

そのCEOが、OSの世界だと管理者IDであり、パスワード。又は電子証明書（PKIの承認など）。

オラクルなどでは「ロール」と呼ばれいる。マイクロソフトでは「Admin... s 」のようにグループで表現されている、特権をいくつか組み合わせた、特権グループが存在する。

オラクルではDBA権限といい「Admin..sグループ」となるわけ。下記に特権の例を示す。

wbemPrivilegeCreateToken　0x1　Required to create a primary token.
wbemPrivilegePrimaryToken　0x2 Required to assign the primary token of a process.
・・
wbemPrivilegeMachineAccount　0x5 　Required to create a machine account.
wbemPrivilegeTcb　0x6　Identifies its holder as part of the trusted computer base.

これらは、ユーザーに付与されるもので、プロセスに付与されるものでない。つまり、プロセスを実行する時に、実行権限を特定に与えますと、OSにシグナルを送るための免罪符としてプロセスのヘッダーに張られ、それを読み取ったOSが、「OK管理者じゃないけど管理者が持っている特権を渡されたのね」として実行するのねと、理解してくれる。

それが、権限の昇格あり、特権のOn、Offであり、特権と権限の関係。

まあ、オラクルの「ロール」を勉強してください。よくDBやシステムは使われる言葉なので知っておいて得することはあるが、損することはない。

お礼

わかりやすい説明でした！
権限についての説明が探してもなくて困ってたんですよ。
回答ありがとうございました。