Virtual Server 2005 系统文件的安全设置-白红宇

在一台开放式类型的服务器上部署了Virtual Server 2005EE R2，第一次安装时，过程中需要为宿主网卡绑定上VSRV的虚拟网卡，通常这个操作会切断网卡连接之后会重新恢复连接，可是此次应用中却中断了。因为是远程操作所以只能通知相关人员重新启动，登录后发现VSRV工作不正常，无奈只能卸载重新安装，之后检查系统发现VSRV的虚拟网卡并没有从宿主网卡上解除绑定当时也没有深入研究感觉这倒是件好事起码再次安装的时候应该不会出现中断问题，于是重新安装了VSRV发现关键服务无法运行提示我没有权限访问，改为System权限运行服务后发现正常了。可是过几天客户说虚拟系统无法运行了，奇怪上去检查后发现VSRV缺少一个监视服务，难道是宿主上的一些程序破坏了它？检查日志发现dotnet 2.0运行库有问题于是着手先修复。反复卸载安装了多次都没能解决，日志中只有关于DCOM应用的权限故障等其他问题，回想回想！感觉问题应该出在目录权限方面，因为Public主机通常都作过专门的目录权限，问题应该就出在这里，为几个关键的目录添加了Network Service账号的修改权限，重新安装竟然好了！之后才真正的仔细去看了一些管理帮助文档找到了VSRV文件系统的安全设置资料。特转记到自己的Blog方便以后配置参考！

总结一下，还是自己的疏忽造成的，深刻检讨一下！下面就是VSRV系统文件的安全设置内容：

VSRV文件夹的DACL：

虚拟服务器安装程序创建了 Virtual Server 文件夹，默认情况下该文件夹位于 C:\Documents and Settings\All Users\Application Data\Microsoft\ 中。Virtual Server 文件夹包含下列项：

虚拟服务器配置文件 (Options.xml)

虚拟服务器许可证文件 (VSLicense.xml)

Virtual Machines 文件夹，该文件夹中包含虚拟服务器上当前配置的虚拟机的配置文件的快捷方式

Virtual Networks 文件夹，该文件夹中包含虚拟服务器上当前配置的虚拟网络的配置文件的快捷方式

此文件夹的 DACL 适用于该文件夹包含的文件夹和文件。下表列出了此 DACL 的默认访问控制项 (ACE)。尽管可以从文件系统内部配置此 DACL，但仍建议您改用管理网站上的“虚拟服务器安全设置”页。

下表显示了 Virtual Server 文件夹的默认 DACL。

用户帐户	权限（允许的操作）	适用范围
Administrators	完全控制	该文件夹、子文件夹和文件
CREATOR OWNER	完全控制	只适用于子文件夹和文件
SYSTEM	读取及执行	该文件夹、子文件夹和文件
SYSTEM	创建文件/写入数据创建文件夹/附加数据	只适用于该文件夹
NETWORK SERVICE	读取及执行	该文件夹、子文件夹和文件
NETWORK SERVICE	创建文件/写入数据创建文件夹/附加数据	只适用于该文件夹

虚拟服务器配置文件的DACL：

下表说明虚拟服务器配置文件 (Options.xml) 的默认 DACL，默认情况下它位于 C:\Documents and Settings\All Users\Application Data\Microsoft\Virtual Server 中。您可以更改此文件的 DACL，但建议您改用管理网站配置虚拟服务器的全局安全设置。

用户帐户	权限（允许的操作）	适用范围
Administrators	完全控制	只适用于该对象
NETWORK SERVICE	完全控制	只适用于该对象
SYSTEM	读取及执行	只适用于该对象

虚拟服务器许可证文件的DACL：

下表说明虚拟服务器许可证文件 (VSLicense.xml) 的默认 DACL，默认情况下它位于 C:\Documents and Settings\All Users\Application Data\Microsoft\Virtual Server 中。

用户帐户	权限（允许的操作）	适用范围
Administrators	完全控制	只适用于该对象
NETWORK SERVICE	读取及执行	只适用于该对象
SYSTEM	读取及执行	只适用于该对象

VSRV Helper文件夹的DACL：

下表说明 Virtual Machine helper 文件夹的默认 DACL，默认情况下它位于 C:\Documents and Settings\All Users\Application Data\Microsoft 中。此文件夹包含 NETWORK SERVICE 文件，接下来将进行说明。

警告

不应更改此文件夹的 DACL。如果进行更改，配置为以特定用户帐户运行的虚拟机可能会无法启动，并且会使未经授权的用户能够访问此文件中包含的加密密码信息。

用户帐户	权限（允许的操作）	适用范围
Administrators	完全控制	该文件夹、子文件夹和文件
CREATOR OWNER	完全控制	只适用于子文件夹和文件
SYSTEM	读取及执行	该文件夹、子文件夹和文件
SYSTEM	创建文件/写入数据创建文件夹/附加数据	只适用于该文件夹
NETWORK SERVICE	读取及执行	该文件夹、子文件夹和文件
NETWORK SERVICE	创建文件/写入数据创建文件夹/附加数据	只适用于该文件夹

Network Service文件夹的DACL：

下表说明 NETWORK SERVICE 文件的默认 DACL，默认情况下它位于 C:\Documents and Settings\All Users\Application Data\Microsoft\Virtual Machine Helper 中。此文件存储已配置为用于运行虚拟机的用户帐户的加密信息。

警告

不应更改此文件的 DACL。如果进行更改，配置为以特定用户帐户运行的虚拟机可能会无法启动，并且会使未经授权的用户能够访问此文件中包含的加密密码信息。

用户帐户	权限（允许的操作）	适用范围
NETWORK SERVICE	完全控制	只适用于该对象

VSRV Webapp文件夹的DACL：

下表说明 Virtual Server Webapp 文件夹的默认 DACL，默认情况下它位于 C:\Documents and Settings\All Users\Application Data\Microsoft\ 中。此文件夹包含 ServerPaths.xml 文件，接下来将进行说明。

用户帐户	权限（允许的操作）	适用范围
SYSTEM	完全控制	该文件夹、子文件夹和文件
Administrators	完全控制	该文件夹、子文件夹和文件
Users	读取及执行	该文件夹、子文件夹和文件
Power Users	遍历文件夹/执行文件列出文件夹/读取数据读取属性读取扩展属性创建文件/写入数据创建文件夹/附加数据写入属性写入扩展属性删除子文件夹及文件删除读取权限	该文件夹、子文件夹和文件
Everyone	读取及执行	该文件夹、子文件夹和文件

虚拟服务器管理器搜索路径文件的DACL：

下表说明虚拟服务器管理器搜索路径文件 (ServerPaths.xml) 的默认 DACL，默认情况下它位于 C:\Documents and Settings\All Users\Application Data\Microsoft\Virtual Server WebApp 中。此文件存储有关已为虚拟服务器管理器配置的搜索路径的信息。

用户帐户	权限（允许的操作）	适用范围
SYSTEM	完全控制	该文件夹、子文件夹和文件
Administrators	完全控制	该文件夹、子文件夹和文件
Users	读取及执行	该文件夹、子文件夹和文件
Power Users	遍历文件夹/执行文件列出文件夹/读取数据读取属性读取扩展属性创建文件/写入数据创建文件夹/附加数据写入属性写入扩展属性删除子文件夹及文件删除读取权限	该文件夹、子文件夹和文件
Everyone	读取及执行	该文件夹、子文件夹和文件

Shared Virtual machines文件夹的DACL：

下表说明 Shared Virtual Machines 文件夹的默认 DACL，默认情况下它位于 C:\Documents and Settings\All Users\Shared Documents 中。

用户帐户	权限（允许的操作）	适用范围
Administrators	完全控制	该文件夹、子文件夹和文件
CREATOR OWNER	完全控制	只适用于子文件夹和文件
SYSTEM	读取及执行	该文件夹、子文件夹和文件
SYSTEM	创建文件/写入数据创建文件夹/附加数据	只适用于该文件夹
NETWORK SERVICE	读取及执行	该文件夹、子文件夹和文件
NETWORK SERVICE	创建文件/写入数据创建文件夹/附加数据	只适用于该文件夹

虚拟文件夹和文件的DACL：

下表说明创建和管理虚拟机时虚拟服务器创建的文件夹和文件的默认 DACL。默认情况下，虚拟机配置文件夹和文件位于 C:\Documents and Settings\All Users\Shared Documents\Shared Virtual Machines 中。

虚拟机配置文件夹的 DACL

用户帐户	权限（允许的操作）	适用范围
Administrators	完全控制	该文件夹、子文件夹和文件
CREATOR OWNER	完全控制	只适用于子文件夹和文件
SYSTEM	读取及执行	该文件夹、子文件夹和文件
NETWORK SERVICE	读取及执行	该文件夹、子文件夹和文件

虚拟机配置文件 (.vmc) 的 DACL

用户帐户	权限（允许的操作）	适用范围
Administrators	完全控制	只适用于该对象
SYSTEM	读取及执行	只适用于该对象
NETWORK SERVICE	读取及执行	只适用于该对象

虚拟机保存状态文件 (.vsv) 的 DACL

用户帐户	权限（允许的操作）	适用范围
Administrators	完全控制	只适用于该对象
SYSTEM	读取及执行	只适用于该对象
NETWORK SERVICE	读取及执行	只适用于该对象
保存虚拟机的状态时运行该虚拟机所使用的用户帐户	完全控制	只适用于该对象

Shared Virtual Networks文件夹的DACL：

下表说明 Shared Virtual Networks 文件夹的默认 DACL，默认情况下它位于 C:\Documents and Settings\All Users\Shared Documents 中。

用户帐户	权限（允许的操作）	适用范围
Administrators	完全控制	该文件夹、子文件夹和文件
CREATOR OWNER	完全控制	只适用于子文件夹和文件
SYSTEM	读取及执行	该文件夹、子文件夹和文件
SYSTEM	创建文件/写入数据创建文件夹/附加数据	只适用于该文件夹
NETWORK SERVICE	读取及执行	该文件夹、子文件夹和文件
NETWORK SERVICE	创建文件/写入数据创建文件夹/附加数据	只适用于该文件夹

虚拟网络配置文件（.vnc）的DACL：

下表说明创建虚拟网络时虚拟服务器创建的配置文件的默认 DACL。默认情况下，虚拟网络配置文件 (.vnc) 位于 C:\Documents and Settings\All Users\Shared Documents\Shared Virtual Networks 中。

用户帐户	权限（允许的操作）	适用范围
Administrators	完全控制	只适用于该对象
SYSTEM	读取及执行	只适用于该对象
NETWORK SERVICE	完全控制	只适用于该对象

虚拟硬盘文件（.vhd）和虚拟软盘文件（.vfd）的DACL：

下表说明创建虚拟硬盘或虚拟软盘时虚拟服务器创建的文件的默认 DACL。默认情况下，创建虚拟机时创建的虚拟硬盘文件 (.vhd) 位于 C:\Documents and Settings\All Users\Shared Documents\Shared Virtual Machines 中的虚拟机配置文件夹中。其他虚拟硬盘文件和所有虚拟软盘 (.vfd) 文件存储于文件创建时指定的位置中。

用户帐户	权限（允许的操作）	适用范围
Administrators	完全控制	只适用于该对象
SYSTEM	读取及执行	只适用于该对象
NETWORK SERVICE	读取及执行	只适用于该对象

本文转自苏繁 51CTO博客，原文链接：http://blog.51cto.com/goxia/221264，如需转载请自行联系原作者