Securing Files, Folders, Registry K

Securing Files, Folders, Registry Keys, and Windows Services in a Locked-Down Environment
InstallShield 2014

InstallShield offers several ways to secure files, folders, registry keys, and Windows services for end users who run your product in a locked-down environment:

• Traditional Windows Installer handling—In Windows Installer–based projects, you can choose to use the built-in Windows Installer support for setting permissions for files, folders, and registry keys at run time. With this option, InstallShield stores permission information for your product in the LockPermissions table of the .msi database.

This type of permission handling cannot be combined with the new Windows Installer handling; if you try to build a release that contains the MsiLockPermissionsEx table and the LockPermissions table, build error -7207 occurs.

• New Windows Installer handling—In Windows Installer–based projects, you can choose to use the latest Windows Installer support for setting permissions for files, folders, registry keys, and Windows services at run time. With this option, InstallShield stores permission information for your product in the MsiLockPermissionsEx table of the .msi database.

This option requires Windows Installer 5 or later on the target system; earlier versions of Windows Installer ignore settings for this type of handling.

This type of permission handling cannot be combined with the traditional Windows Installer handling; if you try to build a release that contains the MsiLockPermissionsEx table and the LockPermissions table, build error -7207 occurs.

• Custom InstallShield handling—In Windows Installer–based projects, you can choose to use custom support for setting permissions at run time. With this option, InstallShield stores permission information for your product in the custom ISLockPermissions table of the .msi database. InstallShield also adds custom actions to your project.
• SetObjectPermissions, an InstallScript Function—You can use the SetObjectPermissions function in InstallScript events and InstallScript custom actions to set permissions at run time.

All of these methods enable you to assign permissions for a file, folder, or registry key to specific groups and users. For example, you may assign Read, Write, and Delete permissions for a particular file to the Administrators group, but only Read permissions for all of the users in a different group. The new Windows Installer handling option also lets you assign permissions for a Windows service.

Determining Which Option to Use

The following table compares the different types of methods for setting permissions.

Comparison of Different Ways to Secure Objects in a Locked-Down Environment
Comparison Category
Explanation of Available Support

Project type
• Traditional Windows Installer handling, New Windows Installer handling, and Custom InstallShield handling—Available in the following project types: Basic MSI, DIM, InstallScript MSI, Merge Module, MSI Database, MSM Database, and Transform.
• SetObjectPermissions function—Available in InstallScript events in the following project types: InstallScript, InstallScript MSI.

Also available through InstallScript custom actions in the following project types: Basic MSI, DIM, InstallScript MSI, and Merge Module.

Well-known security identifiers (SIDs)
• Traditional Windows Installer handling—Supports a limited number of SIDs (Administrators, Everyone).
• New Windows Installer handling, Custom InstallShield handling, SetObjectPermissions function—Supports many SIDs (Administrators, Authenticated Users, Creator Owner, Everyone, Guests, Interactive, Local Service, Local System, Network Service, Power Users, Remote Desktop Users, and Users).

Localized names for SIDs
• Traditional Windows Installer handling—Does not support localized names for SIDs; if you try to use a localized name, the installation fails.
• New Windows Installer handling, Custom InstallShield handling, and SetObjectPermissions function—Supports localized names for all of the supported well-known SIDs (Administrators, Authenticated Users, Creator Owner, Everyone, Guests, Interactive, Local Service, Local System, Network Service, Power Users, Remote Desktop Users, and Users).

Ability to deny specific permissions
• Traditional Windows Installer handling—Not supported. This handling lets you set specific permissions; you cannot deny permissions. Thus, you can give a user read-only access to a file. However, you cannot prevent a user from having read-only access.
• New Windows Installer handling, Custom InstallShield handling, and SetObjectPermissions function—Supported. These options let you indicate whether you want to deny a user or group from having the permissions that you are specifying.

Effect on permissions that already exist
• Traditional Windows Installer handling—Existing permissions may be deleted. For example, if permissions are already set for a folder on the target system for the Everyone user, and your installation needs to set permissions for the Administrators user, this option would allow you to set permissions for the Administrators user. However, the existing permissions for Everyone would be deleted.
• New Windows Installer handling, Custom InstallShield handling, and SetObjectPermissions function—These options let you add permissions to a file, folder, or registry key that already exists on the target system, without deleting any existing permissions for that object. For example, if permissions are already set for a folder on the target system for the Everyone user, and your installation needs to set permissions for the Administrators user, these options would allow you to set permissions for the Administrators user without deleting the existing permissions for the Everyone user.

Ability to propagate permissions to child objects (subfolders, files, and subkeys)
• Traditional Windows Installer handling—Not supported. If you want to configure permissions for a subfolder or a file in a folder (or a subkey under a registry key), the parent that is created on the target system automatically inherits the permissions of its child.
• New Windows Installer handling, Custom InstallShield handling, and SetObjectPermissions function—Supported. These options let you configure permissions for a folder (or a registry key), and indicate whether you want the permissions to be applied to all of the folder’s subfolders and files (or the registry key’s subkeys).

Ability to set permissions for objects that are not being installed as part of your installation
• Traditional Windows Installer handling, New Windows Installer handling, and Custom InstallShield handling—Not supported.
• SetObjectPermissions function—Supported. You can secure permissions for a file, folder, or registry key that is installed as part of your installation, or it can be already present on the target system.

Ability to set permissions for a new user that is being created during the installation
• Traditional Windows Installer handling—Not supported.
• New Windows Installer handling, Custom InstallShield handling, and SetObjectPermissions function—Supported. If a new user is created during the installation, you can configure permissions for that user.


Learning More about the Custom InstallShield Handling Option or the Traditional Windows Installer Handling Option

In Basic MSI, DIM, InstallScript MSI, Merge Module, MSI Database, MSM Database, and Transform projects, you need to specify whether you want to use the custom InstallShield handling or the Windows Installer handling. To learn how, see Selecting the Locked-Down Permissions Type for a Project.

To learn how to set permissions for a file or folder using either of these options, see Configuring Permissions for Files and Folders. For information on setting permissions for a registry key using either of these options, see Configuring Permissions for Registry Keys.

Learning More about the New Windows Installer Handling Option

To use the new Windows Installer handling option for a service, add a service to your project and then configure its settings. For more information, see Installing, Controlling, and Configuring Windows Services.

To use the new Windows Installer handling option for files, folders, or registry keys, use the MsiLockPermissionsEx table in the Direct Editor view.

Learning More about the InstallScript Function SetObjectPermissions

For information on the SetObjectPermissions function, see SetObjectPermissions.

Kết quả (Việt) 1:

Bảo vệ tệp, thư mục, khóa Registry và Windows dịch vụ trong một môi trường khóa xuốngInstallShield 2014 InstallShield cung cấp một số cách để bảo đảm tập tin, thư mục, khóa registry và dịch vụ Windows cho người dùng cuối những người chạy sản phẩm của bạn trong một môi trường khóa xuống: • Truyền thống Windows cài đặt xử lý — tại Windows Installer-dựa trên dự án, bạn có thể chọn để sử dụng được xây dựng trong hỗ trợ Windows Installer để thiết lập quyền truy cập cho các tập tin, thư mục, và đăng ký phím tại thời gian chạy. Với tùy chọn này, InstallShield lưu trữ thông tin giấy phép cho sản phẩm của bạn trong bảng LockPermissions của cơ sở dữ liệu .msi. Loại quyền xử lý không thể được kết hợp với trình cài đặt Windows mới xử lý; Nếu bạn cố gắng để xây dựng một bản phát hành có chứa bảng MsiLockPermissionsEx và bảng LockPermissions, xây dựng lỗi-7207 xảy ra. • Mới Windows Installer xử lý — tại Windows Installer-dựa trên dự án, bạn có thể chọn để sử dụng hỗ trợ Windows cài đặt mới nhất để thiết lập quyền cho tập tin, thư mục, khóa registry và các dịch vụ Windows tại thời gian chạy. Với tùy chọn này, InstallShield lưu trữ thông tin giấy phép cho sản phẩm của bạn trong bảng MsiLockPermissionsEx của cơ sở dữ liệu .msi. Tùy chọn này đòi hỏi Windows Installer 5 hoặc hệ thống đích; Các phiên bản trước của bộ cài đặt Windows bỏ qua cài đặt cho các loại xử lý.Loại quyền xử lý không thể được kết hợp với trình cài đặt Windows truyền thống xử lý; Nếu bạn cố gắng để xây dựng một bản phát hành có chứa bảng MsiLockPermissionsEx và bảng LockPermissions, xây dựng lỗi-7207 xảy ra. • Tùy chỉnh InstallShield xử lý — tại Windows Installer-dựa trên dự án, bạn có thể chọn để sử dụng hỗ trợ tùy chỉnh để thiết lập quyền tại thời gian chạy. Với tùy chọn này, InstallShield lưu trữ thông tin giấy phép cho sản phẩm của bạn trong bảng ISLockPermissions tùy chỉnh của cơ sở dữ liệu .msi. InstallShield cũng cho biết thêm hành động tùy chỉnh cho dự án của bạn. • SetObjectPermissions, một chức năng InstallScript — bạn có thể sử dụng các chức năng SetObjectPermissions trong sự kiện InstallScript và InstallScript hành động tùy chỉnh để đặt quyền ở thời gian chạy. Tất cả những phương pháp này cho phép bạn để gán quyền cho một tập tin, thư mục, hoặc khóa sổ đăng ký cho các nhóm cụ thể và người dùng. Ví dụ, bạn có thể gán quyền đọc, viết, và xóa đối với một tệp cụ thể cho nhóm người quản trị, nhưng chỉ đọc quyền cho tất cả người dùng trong một nhóm khác nhau. Trình cài đặt Windows mới xử lý tùy chọn cũng cho phép bạn gán quyền cho một dịch vụ Windows.Xác định mà tùy chọn để sử dụngBảng sau so sánh các loại khác nhau của các phương pháp để thiết lập quyền.So sánh các cách khác nhau để bảo đảm các đối tượng trong một môi trường khóa xuống Thể loại so sánh Giải thích về hỗ trợ sẵn có Dự án loại • Truyền thống Windows Installer xử lý, xử lý cài đặt cửa sổ mới và tuỳ chỉnh InstallShield xử lý-có sẵn trong các loại dự án sau đây: cơ bản MSI, DIM, InstallScript MSI, hợp nhất mô-đun, MSI cơ sở dữ liệu, cơ sở dữ liệu MSM và biến đổi. • Chức năng SetObjectPermissions — có sẵn trong InstallScript sự kiện trong các loại dự án sau: InstallScript, InstallScript MSI. Cũng có sẵn thông qua InstallScript tùy chỉnh hoạt động trong các loại dự án sau đây: cơ bản MSI, DIM, InstallScript MSI và hợp nhất mô-đun. Nổi tiếng an ninh định danh (SIDs) • Truyền thống Windows cài đặt xử lý — hỗ trợ một số giới hạn của SIDs (quản trị viên, tất cả mọi người). • Mới xử lý cài đặt Windows, Custom InstallShield xử lý, SetObjectPermissions chức năng-hỗ trợ nhiều SIDs (quản trị viên, xác thực người dùng, người sáng tạo chủ sở hữu, tất cả mọi người, khách, tương tác, các dịch vụ địa phương, Hệ thống cục bộ, Dịch vụ mạng, người sử dụng điện, người dùng máy tính để bàn từ xa, và người dùng). Tên địa phương cho SIDs • Truyền thống Windows cài đặt xử lý — không hỗ trợ tên bản địa hoá cho SIDs; Nếu bạn cố gắng sử dụng một tên bản địa hoá, tiến trình cài đặt không thành công. • Mới Windows cài đặt xử lý, xử lý tùy chỉnh InstallShield và chức năng SetObjectPermissions — hỗ trợ bản địa hoá tên cho tất cả SIDs nổi tiếng được hỗ trợ (quản trị viên, xác thực người dùng, người sáng tạo chủ sở hữu, tất cả mọi người, khách, tương tác, các dịch vụ địa phương, Hệ thống cục bộ, Dịch vụ mạng, người sử dụng điện, người dùng máy tính để bàn từ xa, và người dùng). Khả năng để từ chối quyền cụ thể • Truyền thống Windows cài đặt xử lý — không được hỗ trợ. Xử lý này cho phép bạn thiết lập quyền cụ thể; bạn không thể từ chối cho phép. Vì vậy, bạn có thể cung cấp cho một người dùng chỉ đọc truy cập vào một tập tin. Tuy nhiên, bạn không thể ngăn người dùng có quyền truy cập chỉ đọc. • Mới Windows cài đặt xử lý, xử lý tùy chỉnh InstallShield và chức năng SetObjectPermissions — được hỗ trợ. Các tùy chọn này cho phép bạn chỉ ra cho dù bạn muốn để từ chối người dùng hoặc nhóm từ có các quyền mà bạn chỉ định. Ảnh hưởng quyền đã tồn tại • Truyền thống Windows cài đặt xử lý — hiện tại quyền có thể bị xóa. Ví dụ, nếu quyền được đã đặt cho một thư mục trên hệ thống đích cho tất cả mọi người những người dùng, và cài đặt của bạn cần phải đặt quyền cho người dùng quản trị viên, tùy chọn này sẽ cho phép bạn để đặt cấp phép cho người dùng quản trị viên. Tuy nhiên, các quyền sẵn có cho tất cả mọi người sẽ bị xóa. • Mới Windows cài đặt xử lý, xử lý tùy chỉnh InstallShield và chức năng SetObjectPermissions — các tùy chọn này cho phép bạn thêm quyền cho một tập tin, thư mục, hoặc đăng ký phím đã tồn tại trên hệ thống đích, mà không xóa bất kỳ điều khoản hiện tại cho đối tượng đó. Ví dụ, nếu quyền được đã đặt cho một thư mục trên hệ thống đích cho tất cả mọi người những người dùng, và cài đặt của bạn cần phải đặt quyền cho người dùng quản trị viên, các tùy chọn này sẽ cho phép bạn đặt quyền cho người dùng quản trị viên mà không xoá quyền truy cập sẵn có cho tất cả mọi người những người sử dụng. Khả năng để truyền bá quyền cho các đối tượng trẻ em (thư mục con, tập tin, và subkeys) • Truyền thống Windows cài đặt xử lý — không được hỗ trợ. Nếu bạn muốn đặt cấu hình quyền cho một thư mục hoặc một tập tin trong một thư mục (hoặc một khoá con dưới một khóa registry), cha mẹ được tạo ra trên hệ thống đích tự động kế thừa các quyền của trẻ em của nó. • Mới Windows cài đặt xử lý, xử lý tùy chỉnh InstallShield và chức năng SetObjectPermissions — được hỗ trợ. Các tùy chọn này cho phép bạn đặt cấu hình quyền cho một thư mục (hoặc một khoá đăng ký), và cho biết liệu bạn muốn cấp phép được áp dụng cho tất cả các thư mục con của thư mục và tập tin (hoặc khóa sổ đăng ký subkeys). Khả năng thiết lập quyền cho các đối tượng đang không được cài đặt như một phần của cài đặt của bạn • Truyền thống Windows Installer xử lý, xử lý cài đặt cửa sổ mới và tuỳ chỉnh InstallShield xử lý — không được hỗ trợ. • Chức năng SetObjectPermissions — được hỗ trợ. Bạn có thể an toàn quyền cho một tập tin, thư mục, hoặc khóa sổ đăng ký được cài đặt như một phần của cài đặt của bạn, hoặc nó có thể đã nằm trên hệ thống đích. Khả năng đặt quyền cho người dùng mới được tạo ra trong tiến trình cài đặt • Truyền thống Windows cài đặt xử lý — không được hỗ trợ. • Mới Windows cài đặt xử lý, xử lý tùy chỉnh InstallShield và chức năng SetObjectPermissions — được hỗ trợ. Nếu một người dùng mới được tạo trong tiến trình cài đặt, bạn có thể đặt cấu hình quyền cho người dùng đó. Tìm hiểu thêm về tùy chỉnh InstallShield xử lý tùy chọn hoặc tùy chọn xử lý cài đặt truyền thống WindowsTrong cơ bản MSI, DIM, InstallScript MSI, hợp nhất mô-đun, MSI cơ sở dữ liệu, cơ sở dữ liệu MSM, và biến đổi dự án, bạn cần phải xác định xem bạn muốn sử dụng xử lý InstallShield tùy chỉnh hoặc xử lý cài đặt Windows. Để tìm hiểu như thế nào, xem chọn loại quyền Locked-Down cho một dự án.Để tìm hiểu làm thế nào để đặt cấp phép cho một tập tin hoặc thư mục bằng cách sử dụng một trong các tùy chọn này, hãy xem Đặt cấu hình quyền cho tập tin và thư mục. Cho thông tin về thiết lập quyền cho khoá đăng ký bằng cách sử dụng một trong các tùy chọn này, hãy xem cấu hình quyền cho khoá đăng ký.Học hỏi thêm về trình cài đặt Windows mới xử lý tùy chọnSử dụng trình cài đặt Windows mới xử lý tùy chọn cho một dịch vụ, thêm một dịch vụ cho dự án của bạn và sau đó cấu hình các cài đặt. Để biết thêm thông tin, hãy xem cài đặt, kiểm soát, và cấu hình dịch vụ Windows.Sử dụng trình cài đặt Windows mới xử lý tùy chọn cho các tập tin, thư mục, hoặc đăng ký phím, sử dụng bảng MsiLockPermissionsEx trong chế độ xem trực tiếp biên tập.Học hỏi thêm về SetObjectPermissions chức năng InstallScriptCho thông tin về các chức năng SetObjectPermissions, xem SetObjectPermissions.