Каждый раз, когда вы создаете новый файл или папку, операционная система Windows назначает ему набор разрешений по умолчанию. Они называются эффективными разрешениями . Пользователь, который создает файл или папку, также меняет ее и назначает ей определенные разрешения. В этой статье мы кратко обсудим, что такое эффективные разрешения для файлов и папок в Windows, и расскажем, как их просматривать, для любого пользователя или группы пользователей.
Действующие разрешения для пользователей и групп пользователей
Как уже упоминалось, эффективные разрешения – это набор разрешений файла или папки для любого пользователя или группы пользователей. Чтобы защитить содержимое пользователя, Windows устанавливает некоторые разрешения для каждого объекта файла или папки. Он предоставляет пользователям определенные права пользователя, которые позволят пользователю или группе пользователей читать, изменять, удалять и т. Д. Объект. Минимальное разрешение – разрешение на чтение.
Как стать владельцем файла или папки и получить доступ на просмотр и редактирование ✍️ ️ ️
В этой диаграмме, полученной из справки Windows, перечислены ограничения доступа для каждого набора специальных разрешений.
Просмотр действующих разрешений для пользователей или групп пользователей
Чтобы просмотреть действующие разрешения для любых файлов или папок, щелкните по ним правой кнопкой мыши, выберите «Свойства» и перейдите на вкладку «Безопасность».
Затем нажмите кнопку «Дополнительно», а затем вкладку «Действующие разрешения».
Теперь нажмите на Выбрать.
Здесь введите имя пользователя или группы пользователей и нажмите «ОК».
Все или некоторые из флажков будут автоматически выбраны. Они будут указывать действующие разрешения конкретного пользователя или группы пользователей для этого файла или папки.
Установите этот флажок, если необходимо устранить неполадки с разрешениями доступа к файлам и папкам.
Эффективный инструмент разрешений
Если вы хотите узнать, какие полномочия пользователь или группа имеет для объекта, вы можете использовать инструмент «Эффективные полномочия». Он рассчитывает разрешения, которые предоставляются указанному пользователю или группе. Расчет включает в себя разрешения, действующие от членства в группе, и любые разрешения, унаследованные от родительского объекта. Он ищет все доменные и локальные группы, в которых пользователь или группа является членом.
- AccessChk – инструмент командной строки для просмотра действующих разрешений на файлы, ключи реестра, службы, процессы, объекты ядра и многое другое. Этот инструмент может вас заинтересовать.
- NTFS Permissions Tool позволяет вам установить права доступа к файлам и папкам для системных файлов. Это хороший интерфейс.
- Права доступа Time Machine поможет вам удалить сообщения об отказе в доступе к файлам или отказе в доступе.
Подробнее об управлении правами доступа к файлам и папкам в Windows и сервере можно узнать на сайте TechNet.
Запросите разрешение от Администраторы при удалении папки
Теперь вы можете посмотреть, как сбросить разрешения для файлов NTFS в Windows.
Источник: techarks.ru
Разрешения для файлов и папок
На томах с файловой системой NTFS Вы можете установить разрешения безопасности для файлов и папок. Эти разрешения предоставляют или запрещают доступ к файлам и папкам. Для просмотра текущих разрешений безопасности выполните следующее:
| 1. | В Проводнике (Windows Explorer) выберите файл или папку для просмотра параметров безопасности и щелкните правой кнопкой мыши. |
| 2. | В контекстном меню выберите команду Свойства (Properties) и перейдите на вкладку Безопасность (Security) диалогового окна. |
| 3. | В списке Имя (Name) выберите пользователя, контакт, компьютер или группу разрешения которых Вы хотите просмотреть. Если флажки в области Разрешения: (Permissions) затенены, значит, разрешения унаследованы от родител ьского объекта. |
Общее представление о разрешениях для файлов и папок
В Таблице 13-3 отражены базовые разрешения, применимые к файлам и папкам.
Существуют следующие базовые разрешения на доступ к файлам: Полный доступ (Full Control), Изменить (Modify), Чтение и Выполнение (Read Execute), Список содержимого папки (List Folder Contents), Чтение (Read) и Запись (Write).
При установке разрешений для файлов и папок всегда следует учитывать следующее:
Таблица 13-3 – Базовые разрешения для файлов и папок в Windows 2000
| Базовое разрешение | Значение для папок | Значение для файлов |
| Чтение (Read) | Разрешает обзор папок и просмотр списка файлов и подпапок | Разрешает просмотр и доступ к содержимому файла |
| Запись (Write) | Разрешает добавление файлов и подпапок | Разрешает запись данных в файл |
| Чтение и Выполнение (Read наследуется файлами и папками | Разрешает просмотр и доступ к содержимому файла, а также запуск исполняемого файла | |
| Список содержимого папки (List Folder Contents) | Разрешает обзор папок и просмотр списка файлов и подпапок; наследуется только папками | Не применимо |
| Изменить (Modify) | Разрешает просмотр содержимого и создание файлов и подпапок; допускает удаление папки | Разрешает чтение и запись данных в файл; допускает удаление файла |
| Полный доступ (Full Control) | Разрешает просмотр содержимого, а также создание, изменение и удаление файлов и подпапок | Разрешает чтение и запись данных, а также изменение и удаление файла |
Базовые разрешения созданы при помощи объединения в логические группы особых разрешений, которые показаны в Таблице 13-4 (для файлов) и 13-5 (для папок). Особые разрешения можно назначить индивидуально, используя дополнительные параметры настройки. При изучении особых разрешений для файлов, необходимо учитывать следующее:
Таблица 13-4 – Особые разрешения для файлов
| Особые разрешения | Полный доступ (Full Control) | Изменить (Modify) | Чтение и выполнение (Read http://www.oszone.net/4024″ target=»_blank»]www.oszone.net[/mask_link]
Путеводитель по разрешениям файловой системыДля управления доступом пользователей к папкам и файлам используется детализированная и сложная система разрешений. Механизм управления доступом к объектам Windows — один из самых детализированных среди известных операционных систем. Для файлов и папок существует не менее 14 разрешений NTFS, которые могут быть включены или блокированы — и проверены. Эти разрешения можно назначать файлам или папкам и пользователям или группам. Кроме того, можно назначать порядок наследования разрешений для файлов или папок и пользователей или групп. В лабиринте разрешений легко заблудиться. . Основы доступа к объектам Пользователь никогда не входит в непосредственное «соприкосновение» с каким-либо объектом Windows. Весь доступ к объектам осуществляется через программы (например, Windows Explorer, Microsoft Office) или процессы. Программа, которая обращается к ресурсам от лица пользователя, выполняет процедуру, которая называется имперсонализацией (impersonation). Программа, которая обращается к удаленному ресурсу, выполняет процедуру, которая называется делегированием (delegation). После регистрации пользователя его системный идентификатор (System Identifier — SID) и идентификаторы SID группы обрабатываются процессом lsass.exe, который генерирует маркер безопасного доступа пользователя. В маркер безопасного доступа вводится и другая информация, в том числе о назначенных пользователю правах (разрешениях), ID сеанса пользователя (уникален для каждого сеанса), маске разрешений с детальным описанием типа запрошенного доступа. Права, назначенные пользователю, можно увидеть с помощью команды Если программа обращается от лица пользователя к защищенному ресурсу, то монитор защиты (security reference monitor) Windows запрашивает у программы маркер безопасного доступа пользователя. Затем монитор защиты анализирует маркер, чтобы определить эффективные разрешения пользователя, и разрешает или запрещает выполнение запрошенной пользователем операции. Эффективные разрешения более подробно описаны ниже. Каждый защищенный объект Windows — в том числе файлы, папки, общие ресурсы, принтеры и разделы реестра — поддерживает разрешения безопасности. Любую папку Windows можно сделать общедоступной, чтобы разрешить дистанционный доступ. Разрешения Share можно назначать любым объектам folder и printer в Windows, но разрешения применяются, только если обращение к объекту происходит через сетевой ресурс. К разрешениям Folder Share относятся Full Control, Change и Read. Субъекты безопасности, которым присвоено право полного доступа (Full Control) к объекту, могут производить с объектом почти любые операции. Они могут удалить, переименовать, копировать, переместить и изменить объект. Пользователь с правом Full Control может изменить разрешения Share объекта и стать владельцем объекта (если он уже не является владельцем и не имеет разрешения Take Ownership). Таким образом, любой пользователь с разрешением Full Control может отменить разрешения других лиц, в том числе администратора (хотя администратор может всегда вернуть себе владение и разрешения). Возможность изменять разрешения — обязательное требование любой операционной системы с избирательным управлением доступом (discretionary access control — DAC), такой как Windows. В большинстве случаев, основное разрешение доступа к ресурсу, необходимое обычным пользователям — Change. С помощью разрешения Change пользователь может добавлять, удалять, изменять и переименовывать любые ресурсы в соответствующей папке. Разрешение Read обеспечивает просмотр, копирование, переименование и печать объекта. Пользователь с разрешением Read может копировать объект в другое место, в котором имеет право Full Control. Если в Windows используется файловая система NTFS (а не FAT), то все файлы, папки, разделы реестра и многие другие объекты имеют разрешения NTFS. Разрешения NTFS применяются как при локальном, так и при дистанционном доступе к объекту. Для просмотра и изменения разрешений NTFS файла или папки достаточно щелкнуть правой кнопкой мыши на объекте, выбрать пункт Properties и перейти к вкладке Security. В Таблице 1 показаны 7 суммарных разрешений NTFS. Суммарные разрешения представляют собой различные комбинации 14 более детализированных разрешений, показанных в Таблице 2. Просмотреть детализированные разрешения можно, открыв диалоговое окно Advanced Security Settings для объекта щелчком на кнопке Advanced во вкладке Security, а затем щелкнуть на кнопке Edit во вкладке Permissions. Знакомиться с детализированными разрешениями объекта (особенно требующего повышенной безопасности) — полезная привычка, хотя для этого требуется больше усилий. Суммарные разрешения не всегда точно отражают состояние детализированных разрешений. Например, мне приходилось видеть суммарное разрешение Read, хотя в действительности пользователь имел разрешение Read displaylang=en. С помощью Subinacl можно просматривать и изменять разрешения NTFS для файлов, папок, объектов, разделов реестра и служб. Самая важная возможность Subinacl — скопировать разрешения пользователя, группы или объекта и применить их к другому пользователю, группе или объекту в том же или другом домене. Например, при перемещении пользователя из одного домена в другой в Windows создается новая учетная запись user; все ранее существовавшие SID или разрешения, связанные с первоначальным пользователем, отменяются. Скопировав разрешения в новую учетную запись user с помощью Subinacl, можно сделать их идентичными. Xcacls функционирует аналогично Subinacl и входит в состав комплекта ресурсов Windows 2000 Server Resource Kit. Программу можно также загрузить по адресу http://www.microsoft.com/windows2000/techinfo/reskit/tools/existing/xcacls-o.asp. Программа Cacls описана в опубликованной компанией Microsoft статье «Undocumented CACLS: Group Permissions Capabilities» (http://support.microsoft.com/?kbid=162786). Это более старый инструмент, который появился в составе Windows со времени Windows NT. Cacls не столь полезна, как Subinacl или Xacls, но утилита всегда имеется в системе Windows. С помощью Cacls можно просматривать и изменять файлы и разрешения по пользователям и группам, но не создавать детализированные разрешения NTFS. В настоящее время возможности Cacls ограничены работой с разрешениями No Access, Read, Change и Full Control, которые соответствуют разрешениям NTFS, но не разрешением Share. Кроме того, разрешение Read программы Cacls соответствует разрешению Read Execute в текущей папке, и это разрешение не наследуется. Экран 1. Детальные разрешения объекта Если файл или папка наследует большинство своих разрешений, но имеет также и набор явно заданных разрешений, то последние всегда имеют приоритет перед унаследованными правами. Например, можно предоставить пользователю разрешение Full Control-Deny в корневом каталоге конкретного тома, и задать наследование этих разрешений всеми файлами и папками диска. Затем можно назначить любому файлу или папке на диске право доступа, которое отменяет унаследованный режим Full Control-Deny. Монитор защиты Windows определяет эффективные разрешения пользователей (реальные разрешения, которыми они располагают на практике) с учетом нескольких факторов. Как отмечалось выше, монитор защиты сначала собирает информацию об индивидуальной учетной записи пользователя и всех группах, к которым он принадлежит, и обобщает все разрешения, назначенные всем пользовательским и групповым SID. Если разрешения Deny и Allow существуют на одном уровне, то, как правило, приоритет имеет Deny. Если приоритет получает Full Control-Deny, то пользователь, как правило, не имеет доступа к объекту. По умолчанию при учете разрешений NTFS и Share (пользователь подключается к ресурсу через сеть) монитор защиты должен собрать все разрешения Share и NTFS. В результате эффективные разрешения пользователя представляют собой набор разрешений, предоставленных как разрешениями Share, так и NTFS. Например, в конечном итоге у пользователя могут оказаться Share-разрешения Read и Change, и NTFS-разрешения Read и Modify. Эффективные разрешения — самый ограниченный набор разрешений. В данном случае разрешения почти идентичны. Эффективными разрешениями будут Read и Change/Modify. Многие администраторы ошибочно полагают, что эффективные разрешения — только Read, из-за плохих, чрезмерно упрощенных примеров или устаревшей документации. В диалоговом окне Advanced Security Settings в Windows XP и более новых версиях появилась вкладка Effective Permissions (см. Экран 2). К сожалению, на вкладке Effective Permissions отражаются только разрешения NTFS. Не учитывается влияние разрешений Share, групп на базе действий, членства в которых пользователь не имеет, и других факторов, таких как файловая система с шифрованием (Encrypting File System — EFS). Если EFS активизирована для файла или папки, то пользователь с соответствующими разрешениями NTFS и Share может лишиться возможности доступа к объекту, если не имеет права доступа EFS к папке или файлу. Экран 2. Эффективные разрешения объекта NTFS В завершении статьи — несколько рекомендаций по работе с файлами и папками:
Используя эти рекомендации и справочные таблицы с кратким описанием всех разрешений, можно смело отправляться в лабиринт файловой системы. Администратор сможет уверенно назначать разрешения для файлов, папок, пользователей и групп. Таблица 1. Сводка разрешений NTFS Обеспечивает просмотр, копирование, печать и переименование файлов, папок и объектов. Не позволяет запускать выполняемые программы, кроме файлов сценариев. Позволяет считывать разрешения объектов, атрибуты объектов и расширенные атрибуты (например, бит Archive, EFS). Позволяет составить список файлов и подпапок папки Разрешения чтения, плюс создание и перезапись файлов и папок List (Folders Only) Позволяет просматривать имена файлов и подпапок внутри папки Чтение разрешений и запуск программных файлов Предоставляет все разрешения, кроме возможности присвоить владение и назначать разрешения. Позволяет читать, удалять, изменять и перезаписывать файлы и папки Обеспечивает полное управление папками и файлами, в том числе позволяет назначать разрешения Позволяет составлять комбинации из 14 более детальных разрешений, которые не входят ни в одно из остальных 6 суммарных разрешений. К этой группе относится разрешение Synchronize Таблица 2. Детальные разрешения NTFS Traverse Folder / Execute File Traverse Folder позволяет перемещаться по папкам для доступа к другим файлам и папкам, даже если субъект безопасности не имеет разрешений в транзитной папке. Применяется только к папкам. Traverse Folder вступает в силу, только если субъект безопасности не имеет разрешения Bypass traverse checking user (предоставляется группе Everyone по умолчанию). Execute File позволяет запускать программные файлы. Назначение разрешения Traverse Folder для папки не устанавливает автоматически разрешения Execute File для всех файлов в папке List Folder / Read Data Обеспечивает просмотр имен файлов и подпапок в папке. List Folder воздействует только на содержимое папки — оно не влияет на то, будет ли внесена в список папка, для которой назначается разрешение. Read Data позволяет просматривать, копировать и печатать файлы Субъект безопасности видит атрибуты объекта (например, Read-only, System, Hidden) Read Extended Attributes Субъект безопасности видит расширенные атрибуты объекта (например, EFS, Compression) Create Files / Write Data Create Files позволяет создавать файлы внутри папки (применяется только к папкам). Write Data позволяет вносить изменения в файл и перезаписывать существующий контент (применяется только к файлам) Create Folders / Append Data Create Folders позволяет создавать папки внутри папки (применяется только к папкам). Append Data позволяет вносить изменения в конец файла, но не изменять, удалять или перезаписывать существующие данные (применяется только к файлам) Определяет, может ли субъект безопасности записывать или изменять стандартные атрибуты (например, Read-only, System, Hidden) файлов и папок. Не влияет на содержимое файлов и папок, только на их атрибуты. Write Extended Attributes Определяет, может ли субъект безопасности записывать или изменять расширенные атрибуты (например, EFS, Compression) файлов и папок. Не влияет на содержимое файлов и папок, только на их атрибуты Delete Subfolders and Files Позволяет удалять подпапки и файлы, даже если разрешение Delete не предоставлено подпапке или файлу Позволяет удалять папку или файл. При отсутствии разрешения Delete для файла или папки ее можно удалить, если имеется разрешение Delete Subfolders and Files в родительской папке Позволяет читать разрешения (например, Full Control, Read, Write) файла или папки. Не позволяет прочитать сам файл Позволяет изменять разрешения (например, Full Control, Read, Write) файла или папки. Не позволяет изменять сам файл Определяет, кто может быть владельцем файла или папки. Владельцы всегда могут иметь Full Control, и их разрешения в файле или папке не могут быть постоянно отменены, если при этом не отменяется и право владения Администраторы редко используют это разрешение. Применяется для синхронизации в многопотоковых, многопроцессных программах и определяет взаимодействие между несколькими потоками, которые обращаются к одному ресурсу Источник: www.osp.ru
Загрузка ...
|