OS : Windows. Dominique PRESENT I.U.T. de Marne la Vallée I. U. T. CHAMPS MARNE LA VALLEE MEAUX

Transcription

1 OS : Dominique PRESENT de Marne la Vallée

2 : de MS-DOS à NT : des OS à noyau DOS 1981 première version du DOS avec MSDOS apparition de 1.0, système à commutation de tâche et son multifenêtrage 1995 naissance du Pentium et de 95, système multitâche, multi- fenêtres 1999 : 98 SE 2000 : Millenium 1993 : la naissance du noyau NT 1993 apparaît NT 3.1, uniquement en version «serveur» 1994 NT 3.5 intègre des outils d administration à distance 1996 : NT 4.0 server - nouvelle interface utilisateur et fonctionnalités Internet : NT 5.0 server et client 2000 naissance de 2000 en versions Professionnel (Workstation), Server (Serveur simple), Advanced Server (Serveur Avancé : clustering ) et Data Center server (clustering ) 2001 apparaît XP en versions «familiale», «home edition», «professionnelle» et 64 bits

3 XP : la jonction de 2 mondes

4 La famille XP WINDOWS XP FAMILIALE Version de base mono-processeur, XP familiale ne peut pas crypter les fichiers, tend à être remplacée par version Home Edition. WINDOWS XP HOME EDITION Comporte des fonctions supplémentaires, en rapport avec le multimédia. WINDOWS XP PROFESSIONNEL XP Professionnel avec le pack SP2 intégré, est une version biprocesseur, fiable, stable et sécurisée (cryptage des fichiers, antivirus et firewall), Elle autorise la prise en charge multilangues, l'asr (Automated System Recovery), qui permet de récupérer le système en cas de problème. WINDOWS XP 64 BITS Cette version de XP ne peut fonctionner qu'avec un processeur 64 Bits (Intel Itanium, AMD 64 Bits), utilisée principalement pour les

5 Caractéristiques : un OS multitâches Multitâche préemptif : il est capable d'exécuter plusieurs applications et processus. Le noyau du système interrompt les taches les moins prioritaires quand il veut au bout d'un certain temps ou si elles attendent une ressource non disponible. Multi-threads : chaque processus peut lancer autant de threads ( fils d'exécution ) qu'il veut. Multiprocesseurs symétriques : 4 pour NTserver, 2 pour NTWks Multi-utilisateur : les services sont profilés pour chaque utilisateur Portabilité : Sur Intel : sur RISC : Compatibilité : Sur Intel : MS-DOS, Win16, OS/2 et LanManager sur RISC : idem sauf OS/2 Système de fichiers FAT : compatible DOS NTFS : support complet de la sécurité NT, volume étendu, nommage étendus ( 256 caractères ), prise en charge Mac.

6 Exécution d une commande ExplorerRAM Appli 2 dir c:\mes documents Exécution de dir c:\mes documents Shell (interpréte/exécute les commandes) Gestion de mémoire Gestion de fichiers Gestion des E/S noyau Répertoire à lire Lecture de répertoire Unité cible (disque dur local) disque ordonnanceur (gère les processus, les interruptions) couche d abstraction du matériel Interface graphique (gère les fenêtres)

7 Le fichier swap gère la mémoire virtuelle Shell (interpréte/exécute les commandes) Gestion de fichiers Gestion des E/S noyau données disque ordonnanceur (gère les processus, les interruptions) couche d abstraction du matériel Interface graphique (gère les fenêtres) 4Go 1Go Gestion de mémoire Zone des données RAM Fichier swap crée un fichier de mémoire virtuelle (fichier swap) sur le disque dur (pagefile.sys) L application est chargée en mémoire virtuelle dans une zone réservée aux applications et comporte 2 parties : la partie copiée en RAM la partie stockée sur le disque dur Les données sont chargées dans une zone réservées aux données 3Go 2Go Zone des applicatifs Appli 1 4Mo Mémoire virtuelle

8 TDI et NDIS isolent les protocoles réseaux redirecteur Driver NetBios serveurs Driver Winsock Transport Driver Interface AppleTalk TCP/IP NetBEUI Transport NWLink DLC NDIS Réseau Liaison Pilotes de cartes réseau NIC Session Physique Session : NetBIOS : Network Basic Input Output System WinSock : Implémentation des API Sockets de Unix. Redirecteur : dirige les demandes d'e/s, fournit les fonctions pour l accès aux ressources situées sur d'autres machines du réseau Serveur : traite les demandes provenant des redirecteurs des autres machines. Transport : TDI : permet aux redirecteurs et serveurs de communiquer avec les couches transports en restant indépendants.

9 intègre les principaux protocoles redirecteur Driver NetBios serveurs Driver Winsock Transport Driver Interface AppleTalk TCP/IP NetBEUI Transport NWLink DLC NDIS Réseau Liaison Pilotes de cartes réseau Session NIC Physique NetBEUI (NetBIOS extended user interface) : protocole non routable développé pour exécuter des applications NetBIOS sur un réseau local. Il est "plug and play" et NWLink : Couche transport compatible avec les protocoles Novell IPX/SPX. Permet aux clients NetWare d'accéder aux ressources d'un serveur N DLC (Data Link Control) : Utilisé pour se connecter aux imprimantes compatibles DLC ( imprimantes HP ). Liaison : NDIS : supporte plusieurs piles de protocoles : il rend les protocoles indépendants de la carte réseaux. Plusieurs protocoles peuvent être liés à la même carte.

10 NTFS : la sécurité des fichiers NT File System gère : la fonction de restauration du système de fichiers les supports de stockage de très grande capacité (2To) les noms de fichiers longs Autorise : Compression, Cryptage Quotas de disque (contrôle la quantité d'espace disque utilisée par chaque personne) Points de montage (activation/désactivation des volumes) Stockage étendu (médias amovibles tels que les bandes) diverses fonctions du sous-système POSIX. Cryptage EFS : Le système de cryptage EFS (Encrypting File System) permet de stocker des données sur des ordinateurs locaux en toute sécurité.

11 5. Protection des ressources Il s'agit de règles de sécurité associées aux dossiers et fichiers des partitions NTFS. Le système NTFS, stocke une liste de contrôle d'accès ACL (Access Control List) associée à chaque fichier ou dossier. Liste ListeACL ACL Lecture Lecture Partition NTFS Utilisateur1 Utilisateur1 Lecture Lecture Utilisateur1 Utilisateur1 Groupe1 Groupe1 Contrôle Contrôle total total Utilisateur2 Utilisateur2 Contrôle total total Contrôle Groupe1 Groupe1

12 Autorisations NTFS effectives Les autorisations NTFS peuvent être cumulées Les autorisations effectives sont déterminées en effectuant la réunion (OU logique) de toutes les autorisations cumulées. Les autorisations sur les fichiers sont prioritaires sur les autorisations sur les dossiers L'autorisation Refuser est prioritaire sur les autres autorisations Partition NTFS Groupe Groupe B B Écriture Écriture Lecture/Écriture Lecture/Écriture Utilisateur1 Utilisateur1 Lecture Lecture Fichier1 Fichier1 Fichier2 Fichier2 Groupe Groupe A A Refuser Refuser l'écriture l'écriture sur sur Fichier2 Fichier2 Dossier Dossier A A

13 Combinaison d'autorisations NTFS et d'autorisations de partage Les règles suivantes s'appliquent : Les autorisations NTFS sont obligatoires sur les volumes NTFS Les utilisateurs doivent disposer des autorisations NTFS appropriées et d'autorisations sur les dossiers partagés L'autorisation plus restrictive de la combinaison d'autorisations NTFS ou de la combinaison d'autorisations sur les dossiers partagés s'applique CT Utilisateurs Utilisateurs Public Public Lecture Lecture Fichier1 Fichier1 Contrôle Contrôle total total Fichier2 Fichier2 Volume NTFS

14 Le cryptage augmente la sécurité des fichiers Cryptage EFS (Encrypting File System) : Seuls les fichiers et dossiers se trouvant sur des volumes NTFS peuvent être cryptés. Un fichier crypté ne peut être ouvert que par l'utilisateur qui l'a crypté. Les utilisateurs ne peuvent pas partager des fichiers cryptés. Les fichiers système et les fichiers compressés ne peuvent pas être cryptés. Les données transférées via le réseau ne sont pas cryptées pendant le transfert. D'autres protocoles, tels que SSL/PCT ou IPSec, doivent être utilisés pour crypter des données via le réseau. Une stratégie de récupération garantit aux utilisateurs qui perdent les certificats de cryptage de leurs fichiers et les clés privées associées de pouvoir utiliser un agent de récupération pour décrypter leurs fichiers. Recommandations : crypter le dossier Mes documents s'il s'agit de l'emplacement où ils enregistrent la plupart de leurs documents. crypter le dossier Temp pour que tous les fichiers temporaires créés par des programmes soient automatiquement cryptés. crypter les dossiers au lieu des fichiers de façon à ce que tout fichier temporaire créé par un programme au cours de la modification d'un document soit également crypté. exporter le certificat de récupération des données,

15 Installer une application utilise la Base de Registre L'ajout et la suppression de programmes se fait en utilisant un installeur / désinstalleur. L installation peur être manuelle : - ouvrir le dossier où se trouve le programme, - lire les fichiers "Lisez-moi" ou Read-me", - repérer un fichier nommé Install ou Setup, - double-cliquer dessus pour lancer l'installation Ou par l utilitaire Ajout/suppression de programme (conseillé) : menu Démarrer, Paramètres, Panneau de configuration, - double-cliquer sur Ajout/Suppression de programmes, - cliquer sur Ajouter de nouveaux programmes va créer dans la base de registre 2 dossiers (dans répertoire HKEY_LOCAL_MACHINE / SOFTWARE et HKEY_CURRENT_USER / SOFTWARE) et stocker les caractéristiques de l application (chemin d accès, clé d enregistrement, ). Pour désinstaller, il faut supprimer ces répertoires. On peut créer un Point de restauration avant l'installation du programme : - menu Démarrer, Tous les programmes, Accessoires, Outils système, Restauration du système, - cocher "Créer un point de restauration", cliquer sur Suivant, etc. Cela permettra de retrouver ses paramètres d'origine, au cas où l'installation du programme entraînerait un dysfonctionnement.

16 La base de registre sait tout de votre ordinateur HKEY_CLASSES_ROOT : contient les données utilisées par diverses technologies de liaison et d'incorporation d'objets (OLE) et d'association de classes de fichiers. HKEY_CURRENT_USER : contient le profil d'utilisateur en cours de session (variables d'environnement, configuration du Bureau, connexions réseau et les préférences des applications. HKEY_LOCAL_MACHINE : stocke les données du matériel, du logiciel de la sécurité et du système d'exploitation (type du bus, mémoire système, pilotes de périphérique, données de démarrage). HKEY_USERS : contient des informations sur les profils d'utilisateurs et le profil par défaut. Certaines de ces informations apparaissent également dans HKEY_CURRENT_USER. HKEY_CURRENT_CONFIG : contient des informations sur le profil matériel utilisé par l'ordinateur local au démarrage (pilotes de périphérique à charger, résolution d'écran à adopter). C est un sous-arbre de HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Hardware Profiles\Current.

17 LOCAL_MACHINE décrit matériels et logiciels HKEY_LOCAL_MACHINE : HARDWARE : décrit le matériel physique équipant l'ordinateur, la façon dont les pilotes de périphériques utilisent le matériel. Les paramètres sont recalculés à chaque démarrage du système, puis perdus lorsque le système est arrêter. SAM et SECURITY : ces clés pointent vers des stratégies de sécurité (droits spécifiques de l'utilisateur, données pour les comptes utilisateurs, les comptes de groupes et les domaines dans NT Server. SOFTWARE : contient des données sur les logiciels installés, ainsi que diverses données de configuration (logiciels installés sur l'ordinateur), définissent les associations et les données OLE. SYSTEM : commande le démarrage du système, le chargement des pilotes de périphériques, les services NT et le comportement du système d'exploitation. Cette clé enregistre également la configuration utilisée pour démarrer le système d'exploitation courant (CurrentControlSet) ainsi que la configuration de restauration LastKnowGood (Sélection de la dernière bonne configuration). Sites : leregistre-fr.net et

18 Deux comptes : administrateur et invité Un compte d'utilisateur : définit les actions qu'un utilisateur peut effectuer dans. Sur un ordinateur autonome ou membre d'un groupe de travail établit les droits assignés à chaque utilisateur. Sur un ordinateur appartenant à un domaine réseau, un utilisateur doit être membre d'un groupe au moins. Les autorisations et droits accordés à un groupe le sont également à ses membres. Configuration d un Compte d'utilisateur local : Deux types de comptes d'utilisateur sont disponibles sur l ordinateur : compte d'administrateur d'ordinateur compte limité. Vous devez ouvrir une session en tant qu'administrateur ou en tant que membre du groupe Administrateurs pour utiliser l'application Comptes d'utilisateur du Panneau de configuration.

19 Comptes de groupe Les groupes simplifient l'administration en organisant les comptes d'utilisateurs en unités faciles à gérer. Il est possible d'attribuer les autorisations et les droits à un groupe d'utilisateur, plutôt qu'à chaque compte utilisateur. Groupes Locaux (hors domaine) Ils sont utilisés sur les ordinateurs n'appartenant pas à un domaine et permettent de simplifier l'accès aux ressources locales de l'ordinateur. Ils permettent d octroyer des autorisations et des droits sur la machine où ils sont créés. Ne peuvent contenir que des utilisateurs locaux. Ne peuvent être membre d'autres groupes. Les membres des groupes administrateurs et utilisateurs avec pouvoir de l'ordinateur local peuvent créer des groupes locaux.

20 Les groupes locaux les plus courants Administrateurs : Les membres bénéficient d'une quantité maximum d'autorisations par défaut et de la possibilité de modifier leurs propres autorisations. Utilisateurs : Les membres peuvent : exécuter des applications, utiliser les imprimantes locales ou du réseau, arrêter et verrouiller la station de travail créer des groupes locaux, mais ils ne peuvent modifier que les groupes locaux qu'ils ont créés Les membres ne peuvent pas partager des répertoires ni créer des imprimantes locales. Invités Les membres peuvent : exécuter des applications, utiliser les imprimantes locales ou du réseau, arrêter la station de travail

21 Les groupes locaux spéciaux Opérateurs de sauvegarde : Les membres peuvent sauvegarder et restaurer des fichiers sur l'ordinateur, indépendamment des autorisations protégeant ces fichiers. ils n'ont pas la possibilité de modifier les paramètres de sécurité. Utilisateurs avec pouvoir : Les membres peuvent : créer des comptes d'utilisateur et des groupes locaux, mais ne modifier et supprimer que les comptes qu'ils ont créés. supprimer des utilisateurs dans les groupes Utilisateurs avec pouvoir, Utilisateurs et Invités. Ils ne peuvent pas modifier les groupes Administrateurs et Opérateurs de sauvegarde, prendre possession de fichiers, sauvegarder ou restaurer des répertoires, charger ou décharger des pilotes de périphériques, ni gérer les journaux de sécurité et d'audit. Duplicateur Le groupe doit être utilisé pour se connecter aux services Duplicateur du contrôleur de domaine. N'ajoutez pas de compte d'utilisateur réel à ce groupe.

22 Groupes Locaux (hors domaine) Comme pour une station 2000 Pro, ils sont crées à l aide de l outil «Gestion de l ordinateur».

23 Profils d'utilisateurs Sur les ordinateurs 2000, les profils d'utilisateurs permettent de créer et de conserver automatiquement les paramètres du Bureau pour l'environnement de travail de chaque utilisateur sur l'ordinateur local. Un profil d'utilisateur est créé pour chaque utilisateur la première fois qu'il ouvre une session sur un ordinateur. Les profils d'utilisateurs présentent plusieurs avantages pour les utilisateurs : Plusieurs utilisateurs peuvent utiliser le même ordinateur, chacun recevant les paramètres du bureau à l'ouverture de sa session. Lorsque les utilisateurs ouvrent une session sur leur station de travail, ils reçoivent les paramètres du Bureau tels qu'ils existaient à la fermeture de leur dernière session. Lorsqu'un utilisateur personnalise son environnement de Bureau, cette personnalisation ne se reporte pas sur les paramètres du bureau des autres utilisateurs. Les profils d'utilisateurs peuvent être stockés sur un serveur de façon à suivre les utilisateurs quel que soit l'ordinateur exécutant NT version 4.0 ou 2000 sur le réseau sur lequel ils travaillent. Ils sont appelés profils d'utilisateurs itinérants.

24 Groupe de travail : une gestion locale des droits Un groupe de travail réunit des ordinateurs qui désirent partager des ressources (Fichiers, imprimante, messagerie...) dans un réseau de type «poste à poste». Dans cet environnement, les ressources et les comptes d utilisateurs sont gérés par chaque ordinateur du groupe.

25 Le domaine : unité de base d administration Un domaine est un regroupement logique d ordinateurs et d utilisateurs. A la différence d un groupe de travail où chaque ordinateur dispose de sa propre base de données de comptes d utilisateurs, tous les ordinateurs d un domaine partagent une base de données de comptes commune stockée dans le contrôleur de domaine Le regroupement des ordinateurs dans des domaines présente des avantages pour l administration : chaque utilisateur utilise un compte unique quelque soient les ressources auxquelles il souhaite accéder ; la recherche de ressources par un utilisateur se fait en parcourant des domaines correspondant à des entités fonctionnelles plutôt que des ordinateurs ou des imprimantes quelconques. Dans 2000 cette base de données commune s appelle Active Directory (annuaire actif). Cet annuaire est mis à jour dynamiquement et contient : les caractéristiques des comptes d utilisateur ; la définition des groupes d utilisateurs ; La définition des ressources matérielles (ordinateurs, imprimantes ) Les listes de contrôles d'accès ou ACL contrôlent l'accès aux objets du domaine L'administrateur d'un domaine bénéficie de droits absolus pour définir des stratégies de sécurité dans son domaine.

26 3. Service d annuaire Active Directory Dans un domaine W2000, l'annuaire se trouve sur les ordinateurs configurés en contrôleurs de domaine. Un contrôleur est un serveur W2K qui gère tous les aspects liés à la sécurité au sein d'un domaine. Un mécanisme de réplication permet la recopie de l'active Directory entre contrôleurs de domaines. Active Directory utilise le Système de nom de domaine (DNS).

27 Active Directory Service Un service d'annuaire permet de stocker les informations sur les ressources d'un réseau. Il stocke des objets ayant un lien les uns avec les autres (serveur de fichier, imprimantes, utilisateurs ). Un service d'annuaire contient toutes les informations nécessaires à une utilisation et une gestion centralisée de ces objets. Il est possible de rechercher des ressources à partir de certains attributs : Exemple : liste des imprimantes couleurs du 3ème étage.

28 Console Active Directory Un objet est composé d'un ensemble d'attributs. Il s'agit des caractéristiques de l'objet.

29 Objets de l' Active Directory (1) Icône Dossier Description : Domaine Le nœud racine du composant logiciel enfichable représente le domaine administré. Ordinateurs Contient tous les ordinateurs NT et 2000 qui font partie du domaine. Système Contient les informations concernant les systèmes et les services Active Directory. Utilisateurs Contient tous les utilisateurs du domaine. Utilisateur Un objet utilisateur est un objet de l annuaire auquel s appliquent des règles de sécurité.

30 Objets de l' Active Directory Contact Un objet contact est un compte qui ne dispose d aucune autorisation de sécurité. Ordinateur Un objet qui représente un ordinateur sur le réseau. Unité organisationnelle Les unités organisationnelles sont utilisées comme conteneurs pour organiser de façon logique des objets d'annuaire tels que les utilisateurs, les groupes et les ordinateurs. Groupe Les groupes peuvent contenir des utilisateurs, des ordinateurs et d'autres groupes. Dossier partagé Un dossier partagé est un objet partagé sur le réseau qui a été publié dans l'annuaire. Imprimante partagée Une imprimante partagée est une imprimante réseau qui a été publiée dans l'annuaire.

31 Processus d'authentification L'authentification des utilisateurs est obligatoire, elle est réalisée : Par le contrôleur de domaine à travers Active Directory pour une ouverture de session sur le domaine Par l ordinateur à travers une base de compte locale pour une ouverture de session locale (le réseau n est pas utilisé dans ce cas).

32 Stratégie d'utilisation des groupes (1) Il est recommandé d affecter des permissions (P) aux groupes de domaine locaux (DL), de regrouper les comptes d utilisateurs (Account) dans des groupes globaux (G), et enfin d intégrer ces derniers dans des groupes locaux.

33 Stratégie d'utilisation des groupes (2) Cette organisation peut permettre de rajouter simplement des permissions à des utilisateurs ou des groupes du domaine ou d un autre domaine sans intervenir directement sur les permissions. Groupe local informatique Groupe local Commerce Imprimante Aline Imprimante commerce : exé Groupe global du domaine vente Marine C:\Macromedia : contrôle total C:\Office : Lecture Pierre Groupe global du domaine Finance Charles Groupe global Informaticiens Pascale Paul Jacques Claude

34 Groupes spéciaux En plus des groupes contenus dans les dossiers Builtin et Utilisateurs, 2000 Server inclut plusieurs identités spéciales. Par commodité, ces identités sont souvent appelées groupes. Ces groupes spéciaux n'ont pas une appartenance au groupe spécifique que vous pouvez modifier, mais ils peuvent représenter des utilisateurs divers à des moments différents, selon les circonstances. Les trois groupes spéciaux sont les suivants : Tout le monde Représente tous les utilisateurs actuels du réseau, y compris les invités et les utilisateurs d'autres domaines. Réseau Représente les utilisateurs qui accèdent actuellement à une ressource spécifique sur le réseau. Interactif Représente tous les utilisateurs connectés actuellement à un ordinateur spécifique et qui accèdent à une ressource donnée sur cet ordinateur.