□ Полномочия (Permissions), или права, являются действиями, которые разрешается выполнить каждой группе кода. Например, полномочия включают 'возможность обратиться к интерфейсу пользователя' и 'возможность обратиться к локальной памяти'. Системный администратор обычно управляет полномочиями, и это можно делать на уровне предприятия, уровне машины и уровне пользователя.
Виртуальная система выполнения внутри CLR загружает и реализует программы. Она предоставляет функции, необходимые для выполнения управляемого кода, и использует метаданные сборок для соединения в модули. Когда VES загружает сборку, она соответствует одной или нескольким группам кода. Каждой группе кода даются одно или несколько полномочий, которые определяют, какие действия могут делать сборки в этих группах кода. Например, если группе кода MyComputer присвоено полномочие FileIOPermission, то это означает, что сборки локальной машины могут читать и записывать в локальную файловую систему.
Группы кода
Группы кода имеют требование записи, называемое условием членства (Membership Condition). Чтобы сборка была внесена в группу кода, она должна соответствовать условию членства группы. Условия членства выглядят как запись 'сборка с сайта www.microsoft.com' или 'Издателем этого программного обеспечения является Microsoft Corporation'.
Каждая группа кода имеет одно и только одно условие членства. Здесь представлены типы условий членства в группах кода, доступные в .NET:
□ Zone (Зона) — регион, из которого происходит код.
□ Site (Сайт) — сайт Web, из которого происходит код.
□ Strong name (Строгое имя) — уникальное, проверяемое имя кода. Часто называется 'общим именем'.
□ Publisher (Издатель) — издатель кода.
□ URL — определенное расположение, из которого происходит код.
□ Hash value (хэш-значение) — хэш-значение сборки.
□ Skip verification (Контроль пропуска) — код, который запрашивает сборку, обходит проверки контроля кода.
□ Application directory (Каталог приложения) — расположение сборки в приложении.
□ All code (Весь код) — весь код удовлетворяет этому условию.
□ Custom (Специальный) — определяемое пользователем условие.
Первым типом условия членства в списке является условие Zone, оно наиболее часто используется. В зоне определяется регион происхождения фрагмента кода: MyComputer, Intranet, Trusted и Untrusted. Эти регионы управляются с помощью Security Options в Internet Explorer, об этом мы узнаем больше в последующем при рассмотрении управления политиками системы безопасности. Хотя настройки управляются с помощью Internet Explorer, они применимы ко всей машине. Ясно, что эти конфигурационные параметры недоступны в браузерах других компаний и, фактически, внутристраничные элементы управления, написанные с помощью .NET Framework, не будут работать в браузерах, отличных от Internet Explorer.
Группы кодов организуются в иерархию с условием членства All Code в корне.
Можно видеть, что каждая группа кода имеет одно условие членства и обладает полномочиями, которые должны быть предоставлены группе кода. Мы рассмотрим полномочия более подробно позже. Отметим, что если сборка не соответствует условию членства в группе кода, CLR не пытается сопоставить ее с нижерасположенными группами кода.
Caspol.exe — утилита политики системы безопасности доступа к коду
К утилите командной строки политики системы безопасности доступа к коду мы часто прибегаем в этой главе. Она позволяет просматривать и управлять политикой безопасности. Чтобы получить список ее параметров, введите следующую команду:
caspol.exe
.NET содержит также подключаемый модуль (snap-in) для управляющей консоли Microsoft, обеспечивающий регулирование системы безопасности доступа к коду. Однако ограничимся утилитой командной строки, в этом случае будет легче следовать приведенным примерам и можно создавать сценарии для изменения политики системы безопасности, очень полезные применительно к большому числу машин.
Рассмотрим группы кода на машине с помощью утилиты caspol.exe. Вывод команды перечисляет иерархическую структуру групп кода, дающую описание каждой группы кода. Введите следующую команду:
caspol.exe -listdescription
Microsoft (R) .NET Framework CasPol 1.0.xxxx.xx
Copyright (c) Microsoft Corp 1999-2001. All rights reserved.
Security is ON
Execution checking is ON
Policy change prompt is ON
Level = Machine
Full Trust Assemblies:
1. All_Code: This code group grants no permissions and forms the root of the code group tree.
1.1. My_Computer_Zone: This code group grants full trust to all code originating on the local machine.
1.2. Local.Intranet_Zone: This code group grants the intranet permission set to code from the intranet zone. This permission set grants intranet code the right to use isolated storage, full UI access, some capability to do reflection and limited access to environment variables.
1.2.1. Intranet_Same_Site_Access: All intranet Code gets the right to connect back to the site of its origine.
1.2.2. Intranet_Same_Directory_Access: All intranet code gets the right to read from its install directory.
1.3. Internet_Zone: This code group grants code from the Internet zone the Internet permission set. This permission set grants Internet code the right the use isolated storage an a limited UI access.
1.3.1. Internet_Same_Site_Access: All Internet Code gets the right to connect back to the site of its origin.
1.4. Restricted_Zone: Code coming from a restricted zone does not receive any permissions.
