Windows ACLとは何ですか？

Windows ACLとは何ですか。なぜ重要なのですか。

このwikiページで以下を見つけました。

コンピューターファイルシステムに関するアクセス制御リスト（ACL）は、オブジェクトに添付されたアクセス許可のリストです。ACLは、オブジェクトへのアクセスが許可されるユーザーまたはシステムプロセス、および指定されたオブジェクトで許可される操作を指定します。一般的なACLの各エントリは、サブジェクトと操作を指定します。たとえば、ファイルに（Alice、delete）を含むACLがある場合、これによりファイルを削除する権限がAliceに付与されます。

「なぜ重要なのか」という質問に答えるために。あなたがまだ理解していないなら、あなたがそれらを持っていなければ、許可は存在しません。これは、Windowsが特定の特権を持つユーザーを理解する方法です。

こんな感じで見れます。

NTFS上のすべてのオブジェクトにはシリアル番号（ユーザーアカウント、ユーザーグループ、プロセス、デバイスなどを含む）があります。アクセス制御リストは、どのシリアル番号が別のシリアル番号にアクセスできるか、およびどの権限が設定されているかを追跡します。シリアル化された番号があり、権限が付与されているすべてのものを考えてください。

FREDという名前のユーザーを削除すると、そのシリアル番号が削除され、ACLから削除されます。事実上、FREDのシリアル番号は他のデバイスに関連付けられておらず、それらのデバイスで彼が持っていた権限も削除されます。

ユーザー名FREDを再作成すると、そのユーザーには新しいシリアル番号が割り当てられます。ACLはこれを新しい番号として認識します。したがって、削除されたFREDアカウントが持っていた権限は再確立されません。

これがACLとは何か、どのように機能するか、なぜそれが重要なのかを概念化するのに役立つことを願っています。

アクセス制御リスト（ACL）には0個以上のアクセス制御エントリ（ACE）があります。Windowsの多くの異なるオブジェクトは、ファイル、デバイス、プリンター、レジストリエントリなどのACLを持つことができます。（Windowsの「名前空間」にあるさまざまなタイプのオブジェクトすべての概要を知りたい場合は、SysInternalのWinObjを確認してください。多くはWindowsの内部にあり、ユーザーに直接公開されていません）

ACEは、

• 校長。通常、これはユーザーまたはグループです。ドメインコントローラ上のActive Directoryデータベース内のユーザー、グループ、またはコンピュータ、またはローカルユーザーの可能性があります。「Everyone」や「Authenticated Users」などの「仮想」グループがあります。

そして

• 1つ以上の機能。各機能を許可または拒否に設定できます。機能の例としては、「読み取り」、「書き込み」、「コンテンツの一覧表示」などがあります。拒否は許可より優先されます。ファイルなどのほとんどのオブジェクトは、特定の「許可」ACLがない限り、アクセスや変更を許可しません。したがって、Denyは特別な状況でのみ使用する必要があります。

ACLは継承できます。つまり、下位レベルのディレクトリにあるファイルは、上位レベルのディレクトリからACLを継承できます。

これは、Windowsがプロセスに特権を付与および適用する方法であるため、重要です。各プロセスはユーザーとして実行され、そのユーザーが1つ以上のACEに「該当する」場合、Windowsはそれらすべてを解決して、特定のアクションが許可されているかどうかを判断します。