Windows BackupRead / BackupWrite 和 ACL

Question

我一直在尝试了解使用 BackupRead 和 BackupWrite 备份计算机上的数据的正确方法，尤其是关于可靠地还原数据的正确方法。

现在我了解了如何使用 API 并取得了成功。然而，有一件事情让我很困扰。 除了文件内容本身之外，您还可以备份任何备用数据流以及安全信息 (ACL)。

现在，如果我要存储 ACL 数据以供备份，然后，一旦需要在另一台机器或新设置的机器上恢复数据，我应该如何处理与 ACL 相关的 SID？ SID 很可能不再对机器有效，应该如何选择正确的用户？ 现在我正在更大规模地看待这个问题，假设这是一台有多个用户和数百或数千个具有不同设置的对象的计算机，如果再次应用安全设置来恢复数据，这将是一团糟。

如果软件的用户希望备份安全设置，用户必须对自己采取什么措施并相应地更新它们还是什么？

此外，BackupRead 和 BackupWrite 会为我提供那些不太难使用的项目的原始二进制数据，但显然这个 API 甚至不打算面对这个问题。

有人知道备份应用程序应该如何处理这种情况吗？您有什么想法，或者对这个特定主题的指导方针有什么建议？

非常感谢。

Answer 1

我认为您正确理解了数据备份和恢复的问题。我认为正确理解问题是解决问题的一半。我想你和 stackoverflow 网站的大多数用户一样，主要是软件开发人员，而不是大型网络的管理员。因此，您从软件开发人员的另一面而不是从管理员的角度看待问题。管理员知道 ACL 备份和恢复的限制，并且已经在使用它。

一般而言，您应该了解备份的主要目的是保存数据并在以后在同一台计算机或服务器上恢复数据。另一种标准情况是：硬件更换后从一台服务器恢复备份到另一台服务器。在旧服务器将不存在的情况下。大多数人会备份服务器并组织在客户端上工作，以便不会保存客户端计算机的重要数据。

在大多数情况下，备份数据在安全描述符中包含来自BUILTIN 域的域组 SID、域用户 SID、well-known SIDs 或 SID 别名。在这种情况下，根本不需要更改 SID。如果管理员要对 ACL 进行一些更改，他可以使用不同的现有实用程序，例如 SubInACL.exe。

如果您编写的备份/恢复软件用于移动数据，其中包含安全信息，您可以在备份中包含一些关于在保存的安全描述符。在恢复软件中，您可以提供从保存的安全描述符中替换 SID 的可能性。许多年前，我为一位大客户编写了一些实用程序，用于在域迁移后清除文件系统、注册表和服务中 SD 中的 SID。它没有那么复杂。所以我建议您可以在备份/恢复软件中实现相同的功能。

Answer 2

我确实相信 Backup* API 主要用于在同一台机器上进行备份和恢复，这会使 SID 问题变得无关紧要。但是，假设您需要在新安装时恢复备份，这是我对解决方案的想法。

对于Everyone、Creator Owner等众所周知的SID，其实没有任何问题。

对于与域相关的 SID，您可以按原样存储它们，并且在恢复时，如果需要，您可以修复域部分。您可能还应该为此类 SID 存储域名。

对于本地用户和组，您至少应该存储每个 SID 的用户/组名称。修复修复可以根据这些名称部分自动进行，或者手动（假设应用程序的用户界面）询问用户是否希望将此用户映射到新的本地用户，将这些 SID 转换为众所周知的 SID ，或保持原样。

与此类 SID 相关的大多数问题都可以（并且可能通常会）自动处理。我当然希望有一个足够智能的备份应用程序来执行我要求它进行的还原，并发现旧机器上的“Erik”也必须是新机器上的“Erik”。

附带说明，如果您确实决定采用这样的解决方案，请记住启动隔夜数据传输只是为了回到 5% 完成阻塞的弹出窗口是多么烦人，它可以很容易地推迟： )