O que exatamente está incluído no identificador de segurança "Tudo" do Windows (por exemplo, ele inclui contas de computador como DOMAIN \ MACHINE $)?

Question

Esta é uma generalização de uma pergunta que eu inicialmente fizera sobre contas de computador. Eu perguntei:

When one sets Windows permissions for "Everyone", do these permissions apply to computer accounts (aka machine accounts) like MYDOMAIN\MYMACHINE$? Or do they, say, only apply to normal users/groups?

Mas a questão do que Everyone significa realmente merece uma resposta completa e geral - e, idealmente, uma que faça sentido para alguém que não é um profundo especialista em permissões do Windows. (A partir de hoje, achei difícil ter uma boa noção de todos, passando pelas primeiras páginas dos resultados do Google.)

Parece que há pelo menos alguma sutileza - por exemplo, por padrão, conexões de rede "anônimas" não são incluídas em Todos.

    

Answer 1

Com relação às contas de computador:

Eu tive problemas para encontrar uma documentação clara sobre isso, então vou ter que responder com a minha experiência. E, na minha experiência, sim, todas as permissões fazer se aplicam a contas de computador. (Por exemplo, se você conceder acesso de gravação em um compartilhamento para Todos, a conta de máquina MYDOMAIN \ MYMACHINE $ obterá acesso de gravação a esse compartilhamento.)

Muitos acham isso óbvio, mas devem ser explícitos sobre alguns casos de acesso a recursos de rede: algumas das identidades internas mais conhecidas - por exemplo, SERVIÇO DE REDE - identificar como conta de computador (por exemplo, DOMAIN \ MACHINE $) quando acessam recursos de rede (por exemplo, compartilhamentos de rede). Como as contas de computador estão em Todos, sabemos, portanto, que os processos executados em, digamos, SERVIÇO DE REDE, também são considerados como em Todos com o objetivo de acessar recursos de rede. (Teoricamente, as identidades do pool de aplicativos do IIS também devem identificar as máquinas remotas como a conta do computador local, mas aparentemente as pessoas estão tendo problemas com isso . Em contraste, a conta do Serviço Local definitivamente não contará como em Todos se ele acessa recursos - porque o Serviço Local identifica os servidores remotos de forma anônima, em vez de como a conta da máquina.)

(A maior parte da minha experiência envolveu ter o Windows Storage Server 2008 como servidor de arquivos e tentar acessá-lo do Windows Server 2008 (Standard) ou Windows 7 Pro. O acesso das máquinas clientes foi feito por um processo em REDE SERVICE , que autentica remotamente como a conta de máquina da máquina do cliente.)