气密舱门另一侧的麻烦:更改管理员设置
本文探讨了更改管理员设置时所涉及的一种特殊困境——就像从气密舱门内侧开门一样,看似简单却需要先具备相应的权限条件。文章揭示了这种“先有鸡还是先有蛋”式的管理权限悖论。
背景速读
《The Old New Thing》是微软工程师 Raymond Chen 的个人博客,常以技术轶事讲解 Windows 底层行为。本文标题引用航天工程典故——"气密舱门另一侧"——比喻一种安全悖论:更改管理员设置时,你已经在系统内部("从里面开门"),但很多安全机制默认你从"外面"(无权限状态)进入,导致实际操作时陷入先有鸡还是先有蛋的困境。文章讨论的是 Windows 权限设计中一个经典问题:当需要管理员权限才能修改某项安全策略,而该策略本身恰好控制了"谁能获取管理员权限"时,系统如何避免把自己锁死。这是操作系统安全领域中关于"信任链"和"提升权限路径"(LPE path)的基础讨论。