Access Control List

Die Access Control List (ACL), deutsch Zugangskontrollliste, wird von Betriebssystemen und Anwendungen verwendet, um zu kontrollieren, welcher Benutzer auf welche Dienste und Dateien (Dateien, Netzwerkdiensten) Zugriff hat. Im Unterschied zu den regulären Zugriffsrechten sind ACLs feiner einstellbar. So können z.B. für eine Datei für mehrere Benutzer und Gruppen unterschiedliche Rechte vergeben werden, während reguläre Zugriffsrechte nur die Definition von einem Benutzer und einer Gruppe zulassen.

Unix und Linux

In der Unixwelt versteht man unter Access Control List eine Erweiterung der „normalen“ Zugriffssteuerung auf Ebene des Benutzer-Gruppe-Welt-Modells. Bei Access Control Lists lassen sich Zugriffsrechte spezifisch für einzelne Benutzer zuteilen oder verbieten.

Als erstes Unix unterstützte HP-UX dieses Modell der erweiterten Zugriffssteuerung. Mittlerweile bieten auch Linux, FreeBSD (TrustedBSD) und Solaris (TrustedSolaris) native Unterstützung für ACLs.

Unter Linux unterstützen dabei die Dateisysteme ext2, ext3, JFS, XFS und ReiserFS ACLs vollständig. Mit der KDE-Version 3.5 steht auch der Dateimanager Konqueror mit nativer ACL-Unterstützung zur Verfügung. Für den GNOME-Desktop beherrscht der Dateimanager Nautilus seit Version 2.16 nativ ACLs. ACLs werden in Linux statisch vererbt, d.h. die Berechtigungen pflanzen sich in neu angelegte Unterverzeichnisse und Dateien je nach Bedarf fort. Wird die ACL eines übergeordneten Verzeichnisses geändert, hat dies keinen Einfluss auf die darunterliegende Struktur.

Microsoft Windows

Unter Microsoft Windows (NT, 2000, XP, 2003 Server) wird jedem Betriebssystemobjekt (Dateien, Prozesse etc.) ein Security Descriptor zugeordnet, der eine ACL enthalten kann. Ist keine ACL vorhanden, so erhält jeder Benutzer Vollzugriff auf das Objekt. Ist die ACL vorhanden, aber leer, so erhält kein Benutzer Zugriff. Eine ACL besteht aus einem Header und maximal 1.820 Access Control Entries (ACE) . Ein ACE enthält jeweils die Information, ob einem Benutzer oder einer Benutzergruppe eine bestimmte Zugriffsart erlaubt (allow) oder verweigert (deny) werden soll. Der Windows-Explorer schreibt die Einträge, die Zugriff verweigern, an den Anfang der ACL. Fordert nun ein Benutzer Zugriff auf ein Objekt an, so geht der Windows Object Manager die Liste von Anfang an durch. Sobald Einträge für alle angeforderten Rechte gefunden wurden, erlaubt oder verweigert der Object Manager entsprechend den Zugriff. Trifft der Object Manager beim Durchgehen der Liste auf einen Eintrag, der den Zugriff verweigert, wird die Suche abgebrochen und der Zugriff auf das Objekt verweigert. Bei Windows NT werden ACLs statisch vererbt, ab Windows 2000 geschieht dies dynamisch. Wird die ACL eines übergeordnenten Verzeichnisses geändert, so hat dies Auswirkungen auf die darunterliegende Verzeichnisstruktur.

Andere

• Ab Mac OS X Tiger (10.4) unterstützt auch Mac OS X ACLs.
• Durch Patches lassen sich viele Betriebssysteme mit Access Control List-Funktionalität ausstatten.
• Bei Ciscos Betriebssystem IOS bezeichnen ACLs Paketfiltereinstellungen.

Siehe auch

• Computersicherheit
• Netzwerk
• Port Based Network Access Control
• Mandatory Access Control
• Rollenbasierte Zugriffskontrolle
• Discretionary Access Control

Weblinks

• Eintrag "ACL" im IT-Glossar von ZDNet.de
• Zur Benutzung von ACLs unter OS X (englisch)