ADMIN 类

端点管理指南：用于 Windows › 管理权限的范围 › 子管理 › ADMIN 类

ADMIN 类

子管理员（类 ADMIN 中记录的 Access Control 列表 (ACL) 列出的用户）所拥有的权限与具有 ADMIN 属性的用户的权限相类似。不过，ADMIN 类中记录的 ACL 中用户的权限仅限于记录代表的特定类。例如，ADMIN 类中的 SURROGATE 记录确定哪些用户可以管理 SURROGATE 类的记录。

注意：有关 CA ControlMinder 类的详细信息，请参阅《参考指南》。

ADMIN 类中特定记录的 ACL 中的用户可以执行以下命令：

访问	说明	命令
读取	显示类中记录的属性。	showusr、showgrp、showres、showfile、find
创建	在类中创建新数据库记录。	newusr、newgrp、newres、newfile
修改	更改类中的属性。	chusr、chgrp、 chres、chfile
删除	删除数据库中现有的类记录。	rmusr、rmgrp、rmres、rmfile
连接	向组中添加用户和删除组中的用户。该访问权限仅在 GROUP 记录的 ACL 中有效。	join、join‑
密码	控制数据库中所有用户的密码及其密码属性。该访问权限授予的权限与具有 PWMANAGER 属性的用户的访问权限相同。该访问权限仅在 USER 记录的 ACL 中有效。	chusr

拥有 ADMIN 类权限的用户有以下限制：

在 ADMIN 类的 USER 记录的 ACL 中定义的用户无法删除数据库中的最后一个 ADMIN 用户。
ADMIN 类用户无法为他们所拥有的用户设置全局权限属性 ADMIN、AUDITOR、OPERATOR 和 PWMANAGER。
ADMIN 类用户无法强制更新审核模式。只有具有 AUDITOR 属性的 ADMIN 类才可以更新审核模式。
ADMIN 类用户无法删除超级用户（UNIX 上的 root 帐户或 Windows 上的 Administrator 帐户），但他们可以将 root 设置为 NOADMIN。
ADMIN 类用户无法阻止自己对资源的访问，因此：
- ADMIN 类用户无法为资源分配高于自己安全级别的安全级别。
- ADMIN 类用户无法分配他们没有的安全类别或安全标签。

这些限制是 B1 安全级别认证的一部分。

更多信息：

B1 安全级别认证