Código acesso diretiva de segurança ferramenta (Caspol.exe)

A ferramenta segurança de acesso do código Policy permite que os usuários e administradores modificar a diretiva de segurança para o nível de diretiva de computador, o nível de diretiva de usuário e nível de diretiva da empresa.

caspol [options]

Parâmetros

Opção	Descrição
-addfulltrust assembly_file ou -af assembly_file	Adiciona um assembly que implementa um objeto de segurança personalizado (por exemplo, uma permissão personalizada ou uma condição de associação personalizada) à lista de assembly confiança total para um nível de diretiva específica. The assembly _file argumento especificará a assembly para adicionar. Esse arquivo deve ser assinado com um nome forte. Você pode assinar um assembly com um nome forte usando o Strong Name ferramenta (sn.exe). Sempre que um conjunto que contém uma permissão personalizada de permissões é adicionado à diretiva, o assembly implementando a permissão personalizada deve ser adicionado à lista de certificados confiáveis total para esse nível de diretiva. sistema autônomo assemblies que implementar objetos de segurança personalizado (por exemplo, condições de membro ou grupos de códigos personalizados) usados em uma diretiva de segurança (sistema autônomo a diretiva de computador) sempre devem ser adicionados à lista de assemblies confiança total. Cuidado: Se o assembly que implementa o objeto de segurança personalizado faz referência a outros assemblies, primeiro você deve adicionar assemblies referenciados à lista de assemblies confiança total.Objetos de segurança personalizado criados usando o Visual Basic, C++ e JScript fazer referência a Microsoft.VisualBasic.dll, Microsoft.VisualC.dll ou Microsoft.JScript.dll, respectivamente.Esses assemblies não estão na lista de assembly confiança total por padrão.Você deve adicionar o assembly apropriado para a lista de certificados confiáveis total antes de adicionar um objeto de segurança personalizado.Falha ao fazer isso interromperá o sistema de segurança, fazendo com que todos os assemblies Falha ao carregar.Nessa situação, o Caspol.exe -all - reiniciar opção não irá reparar segurança.Para reparar a segurança, você deve edição manualmente os arquivos de segurança para remover o objeto de segurança personalizado.
-addgroup {parent_label | parent_name} mship pset_name [flags] ou -ag {parent_label | parent_name} mship pset_name [flags]	Adiciona um novo agrupar de códigos a hierarquia do agrupar de códigos. Você pode especificar qualquer o parent_label or parent_name. The parent_label argumento especifica o rótulo (sistema autônomo 1. ou 1.1.) o agrupar de códigos é o pai do agrupar de códigos que está sendo adicionado. The parent_name argumento especifica o nome do agrupar de código que é o pai do agrupar de códigos que está sendo adicionado. Porque parent_label and parent_name podem ser usados de forma intercambiável, Caspol.exe deve ser capaz de distinguir entre eles. Portanto, parent_name não pode começar com um número. Além disso, parent_name só podem conter A-Z, 0-9 e caractere de sublinhado. The mship argumento especifica a condição de associação para o novo agrupar de códigos. Para obter mais informações, consulte a tabela de mship argumentos nesta seção. The pset_name argumento é o nome do conjunto de permissão que será associado a um novo agrupar de códigos. Você também pode conjunto um ou mais sinalizadores para o novo agrupar. Para obter mais informações, consulte a tabela de sinalizadores argumentos nesta seção.
-addpset {PsFile | PsFile pset_Name} ou -ap {chamada_PsFile | psfile pset_name}	Adiciona uma nova chamada permissão conjunto à diretiva. O permissão conjunto deve ser criado no XML e armazenado em um arquivo XML. Se o arquivo XML contém o nome da permissão conjunto, somente esse arquivo (PsFile) foi especificado. Se o arquivo XML não contiver o nome do conjunto de permissões, especifique tanto o nome de arquivo XML (PsFile) e a permissão de definir o nome (pset_name). Observe que todas as permissões usadas em uma permissão definidas deve ser definido em módulos (assemblies) contidas no cache global de assemblies.
-a[ll]	Indica que todas as opções seguindo este se aplica as políticas de computador, usuário e empresa. The -todos os opção sempre refere-se a diretiva do usuário conectado no momento. Consulte o -customall opção para referir-se a diretiva de usuário de um usuário diferente do usuário corrente.
-chggroup {rótulo |nome} {mship | pset_name | flags} ou -cg {rótulo |nome} {mship | pset_name | flags}	Altera as configurações do , conjunto de permissões ou condição de membro de um agrupar de códigosexclusivo, LevelFinal, nome, or Descrição sinalizadores. Você pode especificar qualquer o rótulo or nome. The rótulo argumento especifica o rótulo (sistema autônomo 1. ou 1.1.) o agrupar de códigos. The nome argumento especifica o nome do agrupar de códigos para alterar. Porque rótulo and nome podem ser usados de forma intercambiável, Caspol.exe deve ser capaz de distinguir entre eles. Portanto, nome não pode começar com um número. Além disso, nome só podem conter A-Z, 0-9 e caractere de sublinhado. The pconjunto_name argumento especifica o nome da permissão conjunto para associar o agrupar de códigos. Consulte as tabelas nesta seção para obter informações sobre o mship and sinalizadores argumentos.
-chgpset psfile pset_name ou -cp psfile pset_name	Altera um nomeado permissão definido. The PsFile argumento fornece a definição nova para o permissão definido; é um serializado permissão conjunto arquivo no formato XML. The pset_name argumento especifica o nome do conjunto de permissões que você deseja alterar.
-customall caminho ou -autoridade de certificação caminho	Indica que todas as opções seguindo este aplicar a computador, empresa e as diretivas de usuário personalizada especificada. Você deve especificar o local do arquivo de configuração de segurança do usuário personalizada com o caminho argumento.
-cu[stomuser] path	Permite a administração de uma diretiva de usuário personalizada que não pertença ao usuário em cujo nome Caspol.exe está em execução no momento. Você deve especificar o local do arquivo de configuração de segurança do usuário personalizada com o caminho argumento.
-empresa ou -en	Indica que todas as opções seguindo este aplicar à diretiva de nível empresa. Os usuários que não são administradores de empresa não tem direitos suficientes para modificar a diretiva corporativa, embora eles possam exibi-lo. Em cenários de NT, esta diretiva, por padrão, não interfere com diretiva de computador e usuário.
-e[xecution] {on | logoff}	Ativa ou desativa o mecanismo que verifica a permissão executar antes de executar o código começa.
-f[orce]	Suprime self-destruct teste da ferramenta e altera a diretiva conforme especificado pelo usuário. Normalmente, Caspol.exe verifica se as alterações de diretiva impediria Caspol.exe próprio sejam executados corretamente; se assim, Caspol.exe não salva a alterar de diretiva e imprime uma mensagem de erro. Para forçar Caspol.exe para alterar a diretiva, mesmo que isso impede que Caspol.exe próprio execução, use o –Force opção.
-h[elp]	Exibe a sintaxe de comando e opções para Caspol.exe.
-l[ist]	Lista conjuntos de hierarquia de grupos de código e a permissão para o computador especificado, usuário, empresa ou todos os níveis de diretiva. Caspol.exe exibe rótulo do agrupar de códigos primeiro, seguido pelo nome, se não for nulo.
-listdescrição	Lista todas as descrições do agrupar de códigos para o nível de diretiva especificado.
-listfulltrust ou -lf	Lista o Sumário da lista de assembly confiança total para o nível de diretiva especificado.
-listgroups ou -lg	Exibe os grupos de códigos de nível de diretiva especificada ou todos os níveis de diretiva. Caspol.exe exibe rótulo do agrupar de códigos primeiro, seguido pelo nome, se não for nulo.
-listpset or -lp	Exibe a permissão define o nível de diretiva especificada ou todos os níveis de diretiva.
-m[achine]	Indica que todas as opções seguindo este se aplica a diretiva de nível de computador. Os usuários que não são administradores não tem direitos suficientes para modificar a diretiva de computador, embora eles possam exibi-lo. Para administradores, -computador é o padrão.
-polchgprompt {em | logoff} ou -pág. {em | logoff}	Ativa ou desativa o aviso que é exibido sempre que Caspol.exe é executado usando uma opção que poderia fazer com que as alterações de diretiva.
-quiet ou -q	Desativa temporariamente o aviso que normalmente é exibido por uma opção que faz com que as alterações de diretiva. A configuração de aviso de alterar global não é alterado. Use a opção somente em uma base único comando para Evite desabilitar o aviso para todos os comandos caspol.exe.
-r[ecover]	Recupera a diretiva de um arquivo de backup. Sempre que é feita uma alterar de diretiva, Caspol.exe armazena a diretiva antiga em um arquivo de backup.
-remfulltrust assembly_file ou -rf assembly_file	Remove um assembly do confiança total lista de um nível de diretiva. Esta operação deve ser realizada se um conjunto de permissões que contém uma permissão personalizada não é mais usado pela diretiva. No entanto, você deve remover um assembly que implementa uma permissão personalizada na lista de certificados confiáveis total, somente se o assembly não implementa todas as outras permissões personalizadas que ainda estão sendo usadas. Quando você remove um assembly na lista, você deverá remover também outros assemblies depende.
-remgroup {rótulo |nome} ou -rg {label | nome}	Remove o agrupar de códigos especificado pelo seu nome ou rótulo. Se o agrupar de códigos especificada possui grupos de códigos filho, Caspol.exe também remove todos os grupos de códigos filho.
-rempset pset_name ou -rp pset_name	Remove o conjunto da diretiva de permissão especificado. The pconjunto_name argumento indica qual permissão conjunto para remover. Caspol.exe remove a permissão definida somente se não está associado a qualquer agrupar de códigos. Os conjuntos de permissão padrão (interno) não podem ser removidos; para obter detalhes, consulte Conjuntos de permissões nomeadas.
-reiniciar ou rs-	Retorna a diretiva ao seu estado padrão e persisti-lo em disco. Isso é útil sempre que uma diretiva alterada parece estar além do reparo e você quiser recomeçar com os padrões de instalação. Redefinindo também pode ser conveniente quando você deseja que use a diretiva padrão sistema autônomo ponto de partida para modificações em arquivos de configuração de segurança específicas. Para obter mais informações, consulte Editando manualmente os arquivos de configuração de segurança.
-resetlockdown ou -rsld	Retorna a diretiva para uma versão mais restritiva do estado padrão e persisti-lo em disco; cria um backup da diretiva de computador anterior e persisti-lo para um arquivo chamado security.config.bac. A diretiva bloqueada é semelhante à política padrão, exceto que a diretiva não concede nenhuma permissão de código do Local Intranet, Trusted Sites, e Internet as zonas e os grupos de códigos correspondente têm sem grupos de códigos filho.
-resolvegroup assembly_file ou -rsg assembly_file	Mostra os grupos de códigos que um determinado assembly (assembly _file) pertence. Por padrão, essa opção exibe a computador, usuário e níveis de diretiva de empresa à qual pertence o assembly. Para exibir apenas um nível de diretiva, use esta opção com um a -computador, -usuário, or -empresa opção.
-resolveperm assembly_file ou -rsp assembly_file	Exibe todas as permissões que o especificado (ou padrão) nível de diretiva de segurança concede o conjunto se o assembly foram pode ser executado. The assembly_file argumento especifica o conjunto. Se você especificar o -todos os opção, Caspol.exe calcula as permissões para o assembly com base na política da empresa, computador e usuário; caso contrário, padrão regras de comportamento aplicar.
-s[ecurity] {on | logoff}	Ativa ou desativa a segurança de acesso do código. Especificando o -s logoff opção não desativa a segurança baseada em função. Cuidado   Quando a segurança de acesso do código é desabilitado, todos os pedidos de acesso a código bem-sucedida. Desativando a segurança de acesso do código torna o sistema vulnerável a ataques por código mal-intencionado sistema autônomo vírus e worms. Desativando a segurança obtém algumas desempenho extra, mas só deve ser concluído quando Outros medidas de segurança foram tomadas para ajudar a garantir que a segurança geral do sistema não é violada. Exemplos de outras precauções de segurança incluem desconectando de redes públicas, proteger fisicamente os computadores e assim por diante.
-u[ser]	Indica que todas as opções seguindo este se aplica à diretiva de nível de usuário para o usuário em cujo nome Caspol.exe está sendo executado. Para os usuários não administrativos, -usuário é o padrão.
-?	Exibe a sintaxe de comando e opções para Caspol.exe.

The mship argumento, que especifica a condição de associação para um agrupar de códigos, pode ser usado com o -addgroup and -chggroup opções. Cada mship argumento é implementado sistema autônomo uma classe do .NET estrutura. Para especificar mship, use um dos procedimentos a seguir.

Argumento	Descrição
-todos os	Especifica todo o código. Para obter mais informações sobre isso associação da condição, consulte o Classe AllassociaçãoCondition.
-appdir	Especifica o diretório de aplicativo. Se você especificar –appdir sistema autônomo a condição de associação, a evidência de URL do código é comparada com a evidência de diretório de aplicativo do que o código. Se ambos os valores de evidência forem iguais, essa condição é satisfeita. Para obter mais informações sobre isso associação da condição, consulte o Classe ApplicationDirectoryassociaçãoCondition.
-personalizado xmlfile	Adiciona uma condição de associação personalizado. O obrigatórioxmlfile argumento especifica o arquivo .xml que contém a serialização de XML da condição de associação personalizado.
-hash hashAlg {-hex hashValue | -file assembly_file }	Especifica o código que tenha o hash do assembly fornecido. Para usar um hash sistema autônomo um agrupar de códigoss associação condição, especifique o valor de hash ou o arquivo de montagem. Para obter mais informações sobre isso associação da condição, consulte o Classe HashassociaçãoCondition.
-pub { -cert cert_file_name | -file signed_file_name | -hex hex_string }	Especifica o código que tenha o publicador do software fornecido, conforme indicado por um arquivo de certificado, uma assinatura em um arquivo ou a representação hexadecimal de um X 509 certificado. Para obter mais informações sobre isso associação da condição, consulte o Classe PublisherassociaçãoCondition.
-site website	Especifica o código que tenha determinado site de origem. Por exemplo: -site www.proseware.com Para obter mais informações sobre isso associação da condição, consulte o Classe SiteassociaçãoCondition.
-strong -file file_name {name | -noname} {versão | -noversion}	Especifica o código que tenha um nome forte específico, sistema autônomo designado pelo nome de arquivo, o nome do assembly sistema autônomo uma seqüência de caracteres e a versão do conjunto no formato principais.secundária.compilação.revisão. Por exemplo: -strong - arquivo myAssembly.exe myAssembly 1.2.3.4 Para obter mais informações sobre isso associação da condição, consulte o Classe StrongNameassociaçãoCondition.
-url URL	Especifica o código que se origina a URL fornecida. A URL deve incluir um protocolo, sistema autônomo http:// ou ftp: / /. Além disso, um caractere curinga (*) pode ser usado para especificar vários módulos (assemblies) de uma URL específica. Observação: sistema autônomo uma URL pode ser identificada usando vários nomes, usando uma URL sistema autônomo uma condição de associação não é uma forma segura de verificar a identidade do código.Sempre que possível, use uma condição de associação nome forte, uma condição de associação de publicador ou a condição de associação hash. Para obter mais informações sobre isso associação da condição, consulte o Classe UrlassociaçãoCondition.
-zone zonename	Especifica o código com determinada região de origem. The zonename argumento pode ser um dos seguintes valores: Meu computador, Intranet, Confiável, Internet, or Não confiável. Para obter mais informações sobre isso associação da condição, consulte o ZoneMembershipCondition Classe.

The sinalizadores argumento, que pode ser usado com o –addgroup and – chggroup opções, é especificado usando uma das opções a seguir.

Comentários

Diretiva de segurança é expressa usando três níveis de diretiva: diretiva de computador, diretiva de usuário e diretiva corporativa. O conjunto de permissões que recebe um assembly é determinado pela interseção dos conjuntos de permissão permitido por esses níveis de diretiva de três. Cada nível de diretiva é representado por uma estrutura hierárquica de grupos de códigos. Cada agrupar de códigos tem uma condição de membro determina qual código é um membro desse agrupar. Uma chamada permissão conjunto também está associado a cada agrupar de códigos. Isso permissão conjunto Especifica s permissão o tempo de execução permite que o código que satisfaça a condição de associação tenha. Uma hierarquia de agrupar de códigos, juntamente com seu associado chamado permissão define, define e mantém cada nível da diretiva de segurança. Você pode usar o – usuário, -customuser, –computador and -empresa opções para conjunto o nível de diretiva de segurança.

Para obter mais informações sobre diretiva de segurança e como o tempo de execução determina quais permissões para conceder ao código, consulte Gerenciamento de diretivas de segurança.

Fazendo referência a grupos de códigos e conjuntos de permissão

Para facilitar as referências a grupos de código em uma hierarquia, o -listaopção exibe uma lista recuada de grupos de código juntamente com seus rótulos numéricos (1, 1.1, 1.1.1 e assim por diante). O Outros operações de linha de comando que se destinam a grupos de códigos também usar rótulos numéricos para referir-se a grupos de código específico.

Chamado permissão conjuntos são referenciados por seus nomes. The –List opção exibe a lista de grupos de código seguida de uma lista de denominado permissão define disponível na diretiva. Para obter uma lista e as descrições dos conjuntos de permissão interna fornecidos pelo tempo de execução, consulte Conjuntos de permissões nomeadas.

Comportamento Caspol.exe

All options except -s[ecurity] {on | logoff} Use a versão do .NET estrutura instalado com Caspol.exe. Se você executar o que foi instalado com a versão Caspol.exeX do tempo de execução, as alterações se aplicam somente a essa versão. Outras instalações lado a lado do tempo de execução, se houver, não são afetadas. Se você executar Caspol.exe a partir da linha de comando sem estar em um diretório para obter uma versão específica de tempo de execução, a ferramenta é executada do diretório de versão de runtime primeiro no caminho (normalmente a versão mais recente em tempo de execução instalado).

The -s[ecurity] {on | logoff} opção é uma operação de todo o computador. Desativando a segurança de acesso do código termina verificações de segurança para todo o código gerenciado e para todos os usuários no computador. Se versões lado a lado do .NET estrutura são instaladas, esse comando desativa a segurança para todas as versões instaladas no computador. Embora o -lista opção mostra que a segurança está desativada, nada mais indica claramente para outros usuários de segurança foi desativada.

Quando um usuário sem direitos administrativos executa Caspol.exe, todas as opções de consulte a diretiva de nível de usuário, a menos que o –computador opção é especificada. Quando um administrador executa Caspol.exe, todas as opções de referência à diretiva de computador, a menos que o – usuário opção é especificada.

Caspol.exe deve ser concedido o equivalente a Tudo conjunto de permissões à função. A ferramenta tem um mecanismo de proteção que impede a diretiva que está sendo modificado de maneiras que impediria que Caspol.exe sendo concedidas as permissões necessárias para executar. Se você tentar efetuar essas transformações, Caspol.exe o notificará de que a alterar de diretiva solicitado interromperá a ferramenta e a alterar de diretiva será rejeitada. Você pode desativar esse mecanismo de proteção para um determinado comando, usando o –Force opção.

Editando manualmente os arquivos de configuração de segurança

Três arquivos de configuração de segurança correspondem aos níveis três diretiva Caspol.exe com suporte: um para a diretiva de computador, um para diretiva de um determinado usuário e um para a diretiva corporativa. Esses arquivos são criados no disco somente quando a diretiva de computador, usuário ou empresa é alterada usando Caspol.exe. Você pode usar o –reiniciar opção no Caspol.exe para salvar a diretiva de segurança padrão em disco, se necessário.

Na maioria dos casos, não é recomendável editar manualmente os arquivos de configuração de segurança. Porém, podem existir situações em que modificar esses arquivos se torna necessário, por exemplo, quando um administrador quiser edição a configuração de segurança para um usuário específico.

Exemplos

-addfulltrust

Suponha que um conjunto que contém uma permissão personalizada de permissões foi adicionado à diretiva de computador. Esta permissão personalizada é implementado em MyPerm.exe, e MyPerm.exe classes de referências em MyOther.exe. Os dois assemblies devem ser adicionados à lista de assemblies confiança total. O comando a seguir adiciona o MyPerm.exe assembly à lista de certificados confiáveis total para a diretiva de computador.

caspol -machine -addfulltrust MyPerm.exe

O comando a seguir adiciona o MyOther.exe assembly à lista de certificados confiáveis total para a diretiva de computador.

caspol -machine -addfulltrust MyOther.exe

-addgroup

O comando a seguir adiciona um agrupar de códigos filho para a raiz da hierarquia de grupos de código de computador diretiva. O novo agrupar de códigos é um membro do Internet zona e está associado a Execução conjunto de permissões.

caspol -machine -addgroup 1.  -zone Internet Execution

O comando a seguir adiciona um agrupar de códigos filho que fornece permissões de compartilhamento \\netserver\netshare da intranet local.

caspol -machine -addgroup 1. -url \\netserver\netshare\* LocalIntranet

-addpset

O comando a seguir adiciona o Mypset permissão conjunto à diretiva de usuário.

caspol -user -addpset Mypset.xml Mypset

-chggroup

O comando a seguir altera a permissão conjunto do usuário da diretiva de agrupar de códigos rotulada 1.2. o Execução permissão conjunto.

caspol -user -chggroup 1.2. Execution

As seguintes alterações de comando a condição de associação na diretiva padrão do agrupar de códigos rotulado 1.2.1. e altera a configuração do exclusivo sinalizar. A condição de associação é definida como código que se origina o Internet região e o exclusivo sinalizar está ligado.

caspol -chggroup 1.2.1. -zone Internet -exclusive on

-chgpset

O comando a seguir altera o conjunto de permissões com nome Mypset a permissão definida contido em newpset.xml. Observe que a versão corrente não oferece suporte a alteração permissão define que está sendo usados pelo código do agrupar de hierarquia.

caspol -chgpset Mypset newpset.xml

-forçar

O comando a seguir faz com que raiz código de agrupar a diretiva usuário (1 rotuladas) a ser associado a Nada denominado conjunto de permissões. Isso impede que Caspol.exe sejam executados.

caspol -force -user -chggroup 1 Nothing

-recuperar

O comando a seguir recupera a diretiva de computador salva mais recentemente.

caspol -machine -recover

-remgroup

O comando a seguir remove o agrupar de códigos rotulado 1.1. Se o agrupar de códigos tem quaisquer grupos de códigos filho, esses grupos também serão excluídos.

caspol -remgroup 1.1.

-rempset

O comando a seguir remove o Execução permissão definida da diretiva do usuário.

caspol -user -rempset Execution

O comando a seguir remove Mypset do nível de diretiva de usuário.

caspol -rempset MyPset

-resolvegroup

O comando a seguir mostra todos os grupos de código da diretiva de computador que myassembly pertence.

caspol -machine -resolvegroup myassembly

O comando a seguir mostra todos os grupos de código de computador, empresa e diretiva de usuário personalizado especificado que myassembly pertence.

caspol -customall "c:\config_test\security.config" -resolvegroup myassembly

-resolveperm

O comando a seguir calcula as permissões para testassembly baseado nos níveis de diretiva de computador e usuário.

caspol -all resolveperm testassembly

Consulte também

Referência

Ferramentas.NET Framework

Prompt de comando SDK 

Outros recursos

Configurando a diretiva de segurança usando o código Acessar Security Policy Tool (Caspol.exe)

Gerenciamento de política de segurança