在老版本 Windows Server 中，聲明只能在 Active Directory 聯合服務中使用，基于提交給 Active Directory 聯合服務的屬性，授權一個域中的用戶使用不同的聯合域中的應用程序。在 DAC 中，聲明的功能本質上是相同。此時有兩種情況，聲明包括一個或多個有關用戶或設備描述（例如姓名、身份、密鑰、組、特權或能力），這些描述都包含在一個可信賴的合作伙伴或是實體（比如 Active Directory 域服務）頒發并簽名的安全令牌中，用于授權用戶或設備訪問資源。若要創建聲明屬性，可使用 Active Directory 管理工具或身份管理工具手動創建。在 DAC 的場景中，由 Active Directory 域服務頒發令牌，而被訪問的資源是一個文件。

在 DAC 中，聲明可與邏輯策略結合，實現細粒度的控制，任意定義文件的子集。在下文列舉的兩個例子中，即可運用這些策略：

為了獲得高級別影響的業務信息，可能要求用戶是一個專職的雇員，使用智能卡，從受管理的設備登錄訪問。這些策略可以通過 Active Directory 域服務來定義和存儲。在該場景中，您必須做到以下幾點：

• 標識和標記包含 HBI 信息的文件。
• 標識組織中的專職員工。
• 創建一個 CAP，并將它應用于組織中所有的文件服務器中包含 HBI 信息的文件。

在整個組織范圍內要求實施文件限制訪問的策略，所有包含個人標識信息 (PII) 的文件，無論保存在什么位置，僅允許 HR 部門成員和文件所有者訪問包含 PII 的文件。在這種情況下，您必須做到以下幾點：

• 標識和分類（標簽）包含 PII 信息的文件。
• 確定人力資源組成員，他們將被允許查看 PII 信息。
• 創建一個中央策略 CAP，并將策略應用給組織內所有文件服務器中包含 PII 信息的文件。

組織中由于不同的層級和不同的原因，都可以成為發起部署和執行授權策略的因素，例如：

• 組織范圍內的授權策略。通常大多數情況由信息安全辦公室發起，這種類型的授權策略一般都關系到整個組織，目的是滿足合規或是其他更高級別的要求。例如，高級別影響的文件只允許全職員工訪問。
• 部門授權策略。 組織中的各個部門內可能需要實施特殊的數據管理需求。比如，財務部門希望只允許財務部門的員工訪問財務服務器
• 特定的數據管理策略。這種類型的策略一般是滿足組織中對于正在管理的信息進行合規管理，比如阻止修改、刪除處于保留或電子發現 (eDiscovery)狀態的文件。
• 需要知道的策略。這種類型的策略通常需要結合前面提到的策略類型。以下是兩個例子：

1. 供應商應該只能夠訪問和編輯他們正在從事的項目所涉及的文件。
2. 在金融機構，信息隔離很重要，分析師不能訪問經紀人的信息，經紀人也不能訪問分析信息。

中央訪問策略結構

Active Directory 域服務中存儲的 CAP 應用于組織中的文件服務器，扮演著安全保護傘的角色。這些策略的目的不是取代，而是補充本地訪問策略，或用于文件和文件夾的任意訪問控制列表（DACL）。例如，如果一個本地 DACL 允許一個特定的用戶訪問，但一個 CAP 策略同時應用于該文件并拒絕該用戶訪問，那么這個用戶不能訪問該文件。反之亦然：如果一個 CAP 策略允許用戶訪問，而本地 DACL 拒絕了，用戶就不能訪問該文件。文件的訪問只有 DACL 和 CAP 同時允許時，才可能允許。

一個 CAP 可以包含很多的規則，每一條規則評估和部署都是作為 CAP 整體的一部分。在 CAP 中的每個規則有以下邏輯部分：

• 適用性。這是一個條件，定義規則應用于哪些文件。例如，條件可以定義為包含個人信息標簽的所有文件。
• 準入條件。這是一個或多個訪問控制條目（ACE）的列表，定義誰可以訪問數據，例如，如果用戶擁有高的安全等級，并且通過受管理的設備訪問數據，那么他將擁有允許讀取和寫入的權限。
• 下圖顯示了一個 CAP 規則的組成部分，以及他們如何結合起來，建立非常明確的數據訪問策略。

  

中央訪問策略和文件服務器

下圖顯示了 Active Directory 域服務，文件服務器和用戶的相互關系。Active Directory域服務用于創建和存儲 CAP 、用戶聲明、和屬性定義；文件服務器，將應用這些策略；用戶，將試圖訪問文件服務器上的文件。

下圖顯示了如何結合不同的規則（藍色框）到一個 CAP（綠色框），然后應用于組織中文件服務器的共享中。

策略預期

當您想更改策略時，Microsoft Windows 允許您在運行現有策略時，平行測試這個計劃的策略的影響，而不需要應用這個策略。這個特性稱之為策略預期，可供您評估一個新的策略在生產環境的最終影響。

當您啟用了策略預期功能后，Windows Server 2012 會繼續使用當前的策略來授權用戶訪問文件。但是如果計劃的策略與當前應用的策略訪問允許不相同時，系統日志中會記錄詳細的信息，您可以使用這些事件日志去決定這個策略是否己經更改或是準備好部署了。

拒絕訪問修復

當然，拒絕訪問只是一條有效中央訪問控制策略的部分策略，而且有時候，當第一次訪問被拒絕后，必須授權訪問的權限。當前，當用戶訪問被拒絕后，這個用戶無法收到任何能夠幫助他獲得訪問的附加信息。這會給用戶和桌面支持或管理員都帶來痛苦。為了緩解這種問題，Windows Server 2012 中的訪問拒絕輔助修復功能能夠給用戶提供附加的信息，同時有機會通過電子郵件發送訪問請求信息給相應的文件所有者。拒絕訪問修復減少人工干預的需要授予用戶對資源的訪問提供以下三個不同的進程：

自助修復。如果用戶能夠確定問題并且糾正這個問題，他們就能獲得訪問權限，這種情況對組織的影響很小，也不需要在組織的策略中添加任何例外。Windows Server 2012 允許您創建一個通用的訪問拒絕信息幫助用戶在訪問拒絕時自助修復。這個信息包括 URLs 地址，將用戶引導到組織中提供的自助修復的網站

文件所有者修復。Windows Server 2012 允許您創建一個文件或是文件夾所有者的分發列表，通過這個分發列表，用戶就可以直接聯系他們請求訪問文件。這個和 Microsoft SharePoint 模式類似，在 SharePoint 中，共享所有者接收用戶的申請訪問文件的請求。修復的方式可以在文件或是文件夾中為用戶添加適當的權限開始。比如，一個文件的本地 DACL 允許特定的用戶訪問，而一個 CAP 限制同一個用戶訪問，那么這個用戶最終將無法訪問這個文件。在Windows Server 2012 中，當一個用戶請求獲得一個文件或是文件夾的訪問權限時，一封有關于請求的詳細信息的電子郵件會發送到文件所有者。如果需要更多的幫助，文件所有者可以將郵件轉發給相應的 IT 管理員。

桌面支持和文件服務器管理員修復。當用戶無法自助修復一個訪問問題，同時文件所有者也無法幫助這個用戶時，這個問題可以通過桌面支持或是文件服務器管理員手動進行糾正。這是成本最高和最耗時的修復方式。Windows Server 2012 提供給用戶查看文件或是文件夾有效權限的界面，簡化排除訪問錯誤問題。

下圖顯示了在訪問被拒絕修復時涉及的一系列事件。

當用戶第一次訪問文件被拒絕時，訪問拒絕修復提供用戶訪問文件的方法：

1. 用戶試圖訪問文件。

2. 由于用戶沒有授予適當的聲明，服務器返回”拒絕訪問”的錯誤信息。

3. 在一臺運行 Windows 8 的電腦上，Windows 獲取來自于文件服務器資源管理器的消息，該消息提供了修復的選項，可能包括請求訪問的鏈接。

4. 當用戶滿足了訪問的條件（比如，簽署了保密協議 NDA 或是提供了其它的驗證），這個用戶的聲明將被更新并且可以訪問文件。