Najpierw spostrzeżenie: za każdym razem, gdy blokujesz dziedziczenie, odcinasz się od przyszłej elastyczności. Za wszelką cenę unikam blokowania dziedziczenia.
Jeśli chcesz, aby użytkownicy mogli wyświetlić zawartość folderu „E: \ Home Directories” najwyższego poziomu, rozważ na przykład następujące uprawnienie:
- SYSTEM - Pełna kontrola - dotyczy tego folderu, podfolderów i plików
- BUILTIN \ Administratorzy - Pełna kontrola - dotyczy tego folderu, podfolderów i plików
- BUILTIN \ Uwierzytelnieni użytkownicy - odczyt i wykonanie - dotyczy tylko tego folderu
Ostatnie uprawnienie nie dziedziczy do podfolderów. W każdym podfolderze dziedziczenie pozostaje włączone i po prostu określasz użytkownika z uprawnieniami „Modyfikuj” lub „Pełna kontrola” (w zależności od tego, jak się czujesz, gdy użytkownicy mogą ustawiać uprawnienia w swoim katalogu domowym). (Zwykle ustawiam to ostatnie uprawnienie, dodając „Uwierzytelnionych użytkowników” w arkuszu właściwości zabezpieczeń innych niż „Zaawansowane”, odznaczając pola wyboru „Odczytaj” i „Odczytaj i wykonaj”. Następnie przechodzę do okna dialogowego „Zaawansowane” i zmieniam Ustawienie „Zastosuj do” dla tego wpisu ACE w „Tylko ten folder”. Jest to najłatwiejszy sposób, pod względem liczby kliknięć, aby go ustawić).
Następnie skrypt staje się:
set /p userDir=Enter the login of the user's directory you're modifying permissions for. (i.e. jDoe)
TAKEOWN /f "E:\Home Directories\%userDir%" /r /d y
ICACLS "E:\Home Directories\%userDir%" /reset /T
ICACLS "E:\Home Directories\%userDir%" /grant:r "MYDOMAIN\%userDir%":(OI)(CI)F
ICACLS "E:\Home Directories\%userDir%" /setowner "MYDOMAIN\%userDir%" /T
Podejrzewam, że dodanie uprawnienia „Uwierzytelnieni użytkownicy”, które opisałem powyżej w / dziedziczenia ustawionego na „Tylko ten folder”, da ci to, czego szukasz pod względem funkcjonalności, i zapewni elastyczność w przyszłości, jeśli się dowiesz że musisz ustawić uprawnienie, które może wymagać dziedziczenia we wszystkich katalogach domowych użytkowników w przyszłości.
To jest moja SOP dla katalogów domowych użytkowników, przekierowanych folderów „Moje dokumenty”, „Pulpit” itp. Oraz dla katalogów profili użytkowników mobilnych. Działa świetnie.
Edytować
Odp: Twój komentarz na temat dostępu BUILTIN \ Administratorzy
Przez lata miałem różne spory z ludźmi na temat mojego podejścia do przyznawania dostępu BUILTIN \ Administratorzy, a moje zdanie jest następujące:
Łatwiej jest rozwiązać pewną klasę problemów użytkowników, jeśli możesz dostać się do ich plików. Przejęcie na własność jest uciążliwe i może być dość powolne, jeśli obecna jest także duża liczba plików.
Jak widzieliście w ICACLS, BUILTIN \ Administratorzy mogą „przypisać” własność (oprócz „przejęcia”), więc nie ma dodawanego „bezpieczeństwa”, ponieważ nie mają dostępu do plików dla BUILTIN \ Administratorów.
O ile nie używasz inspekcji (i przesiewania potencjalnie dużej liczby fałszywie pozytywnych wpisów), nie będzie ścieżki audytu, gdy użytkownik BUILTIN \ Administrators przejmie na własność pliki, do których nie powinien mieć dostępu, skopiuje je, a następnie zwraca pliki z powrotem do ich „właściwego” właściciela i pozwolenia.
W świecie Microsoft szyfrowanie systemu plików (EFS) ma na celu rozwiązanie problemu nieuprawnionego dostępu do BUILTIN \ Administrators. Listy ACL NTFS nie rozwiązują tego problemu. (Oczywiście EFS nie jest jedynym programem w mieście. Szyfrowanie jest prawdziwą odpowiedzią na rozwiązanie problemu „ogranicz dostęp administratora sieci” bez względu na to, jak go pokroisz).
Moim zdaniem, nieokreślanie BUILTIN \ Administratorów z dostępem do domowych katalogów użytkowników (a właściwie dowolnego folderu) oznacza, że zwiększasz złożoność i czas potrzebny do rozwiązania problemów, zapewniając jednocześnie mniej niż brak rzeczywistych zabezpieczeń („mniej niż żaden” „ponieważ daje fałszywe poczucie bezpieczeństwa tam, gdzie go nie ma).
Zrezygnowałem z próby wygrania sporu z ludźmi za pomocą logiki. Wydaje się, że jest to problem emocjonalny u niektórych osób. To jak głupie ACE „Odmów / Odbierz jako”, które umieszcza się w katalogu głównym organizacji Exchange, aby uniemożliwić niektórym uprzywilejowanym grupom otwieranie skrzynek pocztowych użytkowników. Nie zapewnia prawdziwego bezpieczeństwa (ponieważ bez kontroli można usunąć / ponownie zastosować ACE, jeśli to konieczne), fałszywe poczucie bezpieczeństwa i przeszkadza w rozwiązywaniu prawdziwych problemów.
Nawet jeśli nie podoba ci się mój argument o dostępie BUILTIN \ Administratorzy, chcesz zachować nienaruszoną hierarchię dziedziczenia, używając w razie potrzeby dziedziczenia „Tylko ten folder”. Blokowanie dziedziczenia w hierarchiach uprawnień jest pewnym znakiem, że coś w projekcie jest „zepsute” (odwrócone itp.).