端点管理指南：用于 Windows › 保护帐户 › 用户模拟保护 › CA ControlMinder 对用户模拟请求的响应方式

CA ControlMinder 对用户模拟请求的响应方式

SURROGATE 类中的每个记录都定义了保护用户免受模拟尝试伤害的限制。 CA ControlMinder 将模拟请求视为仅能由授权用户访问的抽象对象。 SURROGATE 类中的记录表示每个具有替换（模拟）保护的用户或组。

当用户或组提出模拟其他用户或组的请求时，CA ControlMinder 会执行以下操作：

1. 检查用户或组的 SURROGATE 记录的访问授权。 根据 SURROGATE 记录，会发生以下情况之一：
   • 用户或组的 SURROGATE 记录专门允许或拒绝模拟。

     CA ControlMinder 使用 SURROGATE 记录的访问授权来允许或拒绝模拟请求。

   • 用户或组没有 SURROGATE 记录。

     该过程转至步骤 2。

2. 检查用户或组的默认 SURROGATE 记录的访问授权，如下所示：
   • 如果请求人是用户，CA ControlMinder 会将 USER._default SURROGATE 记录中定义的访问类型授予用户。
   • 如果请求人是组，CA ControlMinder 会将 GROUP._default SURROGATE 记录中定义的访问类型授予用户。

   注意：USER._default、GROUP._default 和 _default SURROGATE 记录的默认访问授权是读取权限。 这意味着 CA ControlMinder 允许任何请求模拟用户或组，除非用户或组的 SURROGATE 记录禁止模拟请求。 要更改此行为，请更改 USER._default 和 GROUP._default 记录的访问授权。 您也能通过更改 _default SURROGATE 记录的访问授权来为用户和组设置相同的默认访问授权。