Что такое траверс папок
Перейти к содержимому

Что такое траверс папок

  • автор:

Моя записная книжка

Read
Обеспечивает просмотр, копирование, печать и переименование файлов, папок и объектов. Не позволяет запускать выполняемые программы, кроме файлов сценариев. Позволяет считывать разрешения объектов, атрибуты объектов и расширенные атрибуты (например, бит Archive, EFS). Позволяет составить список файлов и подпапок папки

Write
Разрешения чтения, плюс создание и перезапись файлов и папок

List (Folders Only)
Позволяет просматривать имена файлов и подпапок внутри папки

Read & Execute
Чтение разрешений и запуск программных файлов

Modify
Предоставляет все разрешения, кроме возможности присвоить владение и назначать разрешения. Позволяет читать, удалять, изменять и перезаписывать файлы и папки

Full Control
Обеспечивает полное управление папками и файлами, в том числе позволяет назначать разрешения

Special Permissions
Позволяет составлять комбинации из 14 более детальных разрешений, которые не входят ни в одно из остальных 6 суммарных разрешений. К этой группе относится разрешение Synchronize

Детальные разрешения NTFS

Traverse Folder / Execute File
Traverse Folder позволяет перемещаться по папкам для доступа к другим файлам и папкам, даже если субъект безопасности не имеет разрешений в транзитной папке. Применяется только к папкам. Traverse Folder вступает в силу, только если субъект безопасности не имеет разрешения Bypass traverse checking user (предоставляется группе Everyone по умолчанию). Execute File позволяет запускать программные файлы. Назначение разрешения Traverse Folder для папки не устанавливает автоматически разрешения Execute File для всех файлов в папке

List Folder / Read Data
Обеспечивает просмотр имен файлов и подпапок в папке. List Folder воздействует только на содержимое папки — оно не влияет на то, будет ли внесена в список папка, для которой назначается разрешение. Read Data позволяет просматривать, копировать и печатать файлы

Read Attributes
Субъект безопасности видит атрибуты объекта (например, Read-only, System, Hidden)

Read Extended Attributes
Субъект безопасности видит расширенные атрибуты объекта (например, EFS, Compression)

Create Files / Write Data
Create Files позволяет создавать файлы внутри папки (применяется только к папкам). Write Data позволяет вносить изменения в файл и перезаписывать существующий контент (применяется только к файлам)

Create Folders / Append Data
Create Folders позволяет создавать папки внутри папки (применяется только к папкам). Append Data позволяет вносить изменения в конец файла, но не изменять, удалять или перезаписывать существующие данные (применяется только к файлам)

Write Attributes
Определяет, может ли субъект безопасности записывать или изменять стандартные атрибуты (например, Read-only, System, Hidden) файлов и папок. Не влияет на содержимое файлов и папок, только на их атрибуты.

Write Extended Attributes
Определяет, может ли субъект безопасности записывать или изменять расширенные атрибуты (например, EFS, Compression) файлов и папок. Не влияет на содержимое файлов и папок, только на их атрибуты

Delete Subfolders and Files
Позволяет удалять подпапки и файлы, даже если разрешение Delete не предоставлено подпапке или файлу

Delete
Позволяет удалять папку или файл. При отсутствии разрешения Delete для файла или папки ее можно удалить, если имеется разрешение Delete Subfolders and Files в родительской папке

Read Permissions
Позволяет читать разрешения (например, Full Control, Read, Write) файла или папки. Не позволяет прочитать сам файл

Change Permissions
Позволяет изменять разрешения (например, Full Control, Read, Write) файла или папки. Не позволяет изменять сам файл

Take Ownership
Определяет, кто может быть владельцем файла или папки. Владельцы всегда могут иметь Full Control, и их разрешения в файле или папке не могут быть постоянно отменены, если при этом не отменяется и право владения

Synchronize
Администраторы редко используют это разрешение. Применяется для синхронизации в многопотоковых, многопроцессных программах и определяет взаимодействие между несколькими потоками, которые обращаются к одному ресурсу

Настройка разрешений файловой системы NTFS

Файловая система NTFS используется в Windows с незапамятных времен. Если быть точнее, то первая версия NTFS появилась еще в Windows NT 3.1, в далеком 1993 году. Но не смотря на свой солидный возраст, NTFS до сих пор является основной файловой системой в Windows и замены ей пока не предвидится. NTFS поддерживает множество полезных функций, одной из которых является система разграничения доступа к данным с использованием списков контроля доступа (access control list, ACL). О том, как грамотно настраивать разрешения на файлы и папки в файловой системе NTFS и пойдет сегодня речь.

Для начала немного теории.

Информация обо всех объектах файловой системы NTFS, расположенных на томе, хранится в главной таблице файлов (Master File Table, MFT). Каждому файлу или папке соответствует запись в MFT, в которой содержится специальный дескриптор безопасности (Secirity Descriptor). Дескриптор безопасности включает в себя два списка ACL:

• System Access Control List (SACL) — системный список контроля доступа. Используется в основном для аудита доступа к объектам файловой системы;
• Discretionary Access Control List (DACL) — дискретный (избирательный) список контроля доступа. Именно этот список формирует разрешения файловой системы, с помощью которых происходит управление доступом к объекту. В дальнейшем говоря ACL мы будем иметь в виду именно DACL.

Каждый список ACL содержит в себе набор записей контроля доступа (Access Control Entry, ACE). Каждая запись включает в себя следующие поля:

• Идентификатор безопасности (SID) пользователя или группы, к которым применяется данная запись;
• Маска доступа, определяющая набор разрешений на данный объект;
• Набор флагов, определяющих, могут ли дочерние объекты наследовать данную ACE;
• Тип ACE (разрешение, запрет или аудит).

Примечание. Если в дескрипторе безопасности отсутствует ACL, то объект считается незащищенным и получить к нему доступ могут все желающие. Если же ACL есть, но в нем отсутствуют ACE, то доступ к объекту закрыт для всех.

И коротко о том, как происходит доступ к объекту, защищенному ACL. При входе пользователя в систему подсистема безопасности собирает данные о его учетной записи и формирует маркер доступа (access token). Маркер содержит идентификатор (SID) пользователя и идентификаторы всех групп (как локальных, так и доменных), в которые пользователь входит. И когда пользователь запрашивает доступ к объекту, информация из маркера доступа сравнивается с ACL объекта и на основании полученной информации пользователь получает (или не получает) требуемый доступ.

Закончим с теорией и перейдем к практике. Для издевательств создадим в корне диска C папку RootFolder.

Базовые разрешения

Для управления разрешениями мы будем использовать встроенные средства проводника. Для того, чтобы добраться до ACL, в проводнике выбираем папку, кликаем на ней правой клавишей мыши и в открывшемся контекстном меню выбираем пункт Properties (Свойства).

контекстное меню проводника

Затем переходим на вкладку Security (Безопасность), на которой отображаются текущие разрешения. Вот это собственно и есть ACL папки (в слегка сокращенном виде) — сверху пользователи и группы, снизу их разрешения. Обратите внимание, что вместо SID-а в таблице отображаются имена. Это сделано исключительно для удобства пользователей, ведь сама система при определении доступа оперирует идентификаторами. Поэтому, к примеру, невозможно восстановить доступ к файлам удаленного пользователя, создав нового пользователя с таким же именем, ведь новый пользователь получит новый SID и будет для операционной системы абсолютно другим пользователем.

Для перехода к редактированию разрешений надо нажать кнопку «Edit».

свойства папки, вкладка безопасность

В качестве примера я выдам права на папку пользователю Kirill (т.е. себе). Первое, что нам надо сделать — это добавить нового пользователя в список доступа. Для этого жмем кнопку «Add»

базовый список доступа

выбираем нужного пользователя и жмем ОК.

добавление пользователя в список доступа

Пользователь добавлен и теперь надо выдать ему необходимые разрешения. Но перед этим давайте рассмотрим поподробнее основные (базовые) разрешения файловой системы:

• List Folder Contents (Просмотр содержимого директории) — позволяет зайти в папку и просмотреть ее содержимое;
• Read (Чтение) — дает право на открытие файла\папки на чтение, без возможности изменения;
• Read & execute (Чтение и выполнение) — позволяет открывать файлы на чтение, а также запускать исполняемые файлы;
• Write (Запись) — разрешает создавать файлы\папки и редактировать файлы, без возможности удаления;
• Modify (Изменение) — включает в себя все вышеперечисленные разрешения. Имея разрешение Modify можно создавать, редактировать и удалять любые объекты файловой системы;
• Full Control (Полный доступ) — включает в себя разрешение Modify, кроме того позволяет изменять текущие разрешения объекта.

При добавлении пользователя в список доступа ему автоматически выдаются права на чтение и запуск.

результат

Я воспользуюсь служебным положением �� и выдам себе полный доступ на папку. Для этого надо отметить соответствующий чекбокс и нажать OK.

добавление разрешений

Дополнительные разрешения

Базовые разрешения файловой системы не дают достаточной гибкости при управлении доступом, поэтому для более тонкой настройки используются дополнительные (расширенные) разрешения. Кстати, определить их наличие можно по наличию галки в строке Special Permissions (Специальные разрешения).

Для редактирования расширенных разрешений надо нажать кнопку «Advanced», после чего мы попадем в окно Advanced Security Settings (Дополнительные параметры безопасности).

дополнительные разрешения

Здесь выбираем пользователя и жмем кнопку «Edit».

расширенные свойства безопасности

В открывшемся окне мы увидим все те же базовые разрешения, а для перехода к расширенным надо перейти по ссылке Show advanced permissions (Отображение дополнительных разрешений).

базовые разрешения

Как видите, здесь разрешений гораздо больше, и настраиваются они детальнее. Вот полный список расширенных разрешений файловой системы:

• Traverse folder / execute file (Траверс папок / Выполнение файлов) — траверс в переводе означает проход, соответственно данное разрешение позволяет пройти внутрь папки и запустить в ней исполняемый файл. При этом зайти внутрь папки и просмотреть ее содержимое нельзя, а файлы внутри доступны только по прямой ссылке. Таким образом можно выдать права на конкретные файлы внутри, при этом не давая никаких прав на саму папку. Обратите внимание, что данное разрешение не устанавливает автоматически разрешения на выполнение для всех файлов в папке;
• List folder /read data (Содержимое папки / чтение данных) — право просматривать содержимое папки, без возможности изменения. Открывать или запускать файлы внутри папки тоже нельзя;
• Read attributes (Чтение атрибутов) — дает право просматривать основные атрибуты файлов (Read-only, System, Hidden и т.п.);
• Read extended attributes (Чтение расширенных атрибутов) — дает право просматривать дополнительные (расширенные) атрибуты файлов. Про расширенные атрибуты известно не очень много. Изначально они были добавлены в Windows NT для совместимости с OS/2 и на данный момент практически не используются. Тем не менее их поддержка присутствует в Windows до сих пор. Для работы с расширенными атрибутами в Windows готовых инструментов нет, но есть сторонняя утилита ea.exe, позволяющая добавлять, удалять и просматривать эти самые атрибуты;
• Create files / write data (Создание файлов / запись данных) — это разрешение дает пользователю право создавать файлы в папке, не имея прав доступа к самой папке. Т.е. можно копировать в папку файлы и создавать новые, но нельзя просматривать содержимое папки и открывать\изменять уже имеющиеся файлы. После добавления пользователь уже не сможет изменить файл, даже будучи его владельцем;
• Create folders / append data (Создание папок / добавление данных) — пользователь может создавать новые подпапки в текущей папке, а также добавлять данные в конец файла, при этом не изменяя уже имеющееся содержимое;
• Write attributes (Запись атрибутов) — дает право изменять практически все стандартные атрибуты файлов и папок, кроме атрибутов сжатия и шифрования. Дело в том, что для функций сжатия и шифрования требуется намного большие полномочия в системе, чем предоставляет данное разрешение. Если точнее, то для включения сжатия или шифрования необходимы права локального администратора;
• Write extended attributes (Запись расширенных атрибутов) — позволяет производить запись расширенных атрибутов файловой системы. Как я говорил выше, атрибуты эти почти не используются, однако есть исключения. В расширенные атрибуты файла можно записывать произвольные данные, чем пользуются некоторые вредоносные программы;
• Delete subfolders and files (Удаление подпапок и файлов) — позволяет удалять папки и файлы внутри родительской папки, при этом саму родительскую папку удалить нельзя;
• Delete (Удаление) — тут все просто, имея данное разрешение можно удалять все что душа пожелает. Но для удаления объекта кроме Delete необходимо иметь разрешение List folder /read data, иначе удалить ничего не получится;
• Read permissions (Чтение разрешений) — позволяет просматривать текущие разрешения файла\папки. Не позволяет открывать на чтение сам файл;
• Change permissions (Изменение разрешений) — дает пользователю право изменять текущие разрешения. Формально это разрешение не дает никаких прав на сам объект, однако по сути предоставляет к нему неограниченный доступ;
• Take ownership (Смена владельца) — данное разрешение позволяет сменить владельца файла или папки. О том, кто такой владелец, речь пойдет чуть позже.

Для примера отберем у пользователя только права на удаление, но оставим все остальные. Обратите внимание, что все разрешения зависят друг от друга и при добавлении\снятии одной галки могут добавляться\сниматься другие. Так при снятии разрешения Delete снимается Full Control.

редактирование расширенных разрешений

Отзыв разрешений

Как выдавать разрешения мы выяснили, теперь о том, как их отбирать. Тут все просто, достаточно удалить пользователя или группу из списка и доступ автоматически пропадает. В качестве примера отберем доступ к папке у пользователя Kirill. Для этого откроем базовые разрешения, выберем нужного пользователя и нажмем кнопку «Remove».

удаление пользователя из списка доступа

Проверим, что пользователь удалился из списка

результат

и попробуем зайти в папку. Поскольку у пользователя больше нет никаких разрешений, то получаем отказ в доступе.

отказ в доступе при отсутствии резрешений

Явный запрет

Как вы наверняка знаете, в файловой системе кроме разрешающих правил (Allow) есть еще и запрещающие (Deny). Однако явные запреты используются достаточно редко, поскольку для управления доступом вполне хватает обычных разрешений. Более того, запреты не рекомендуется использовать без крайней необходимости.

Дело в том, что запрещающие правила всегда имеют приоритет над разрешающими, поэтому при их использовании возможно возникновение конфликтов доступа. Например, если пользователь входит в две группы, у одной из которых есть разрешение на доступ к папке, а у второй явный запрет, то сработает запрет и пользователю будет отказано в доступе.

Однако бывают ситуации, в которых применение запретов может быть оправдано. К примеру, одному пользователю необходимо запретить доступ к папке. При этом он входит в группу, имеющую разрешения на доступ. Отобрать доступ у всей группы нельзя, поскольку в нее входят другие пользователи, которым доступ положен. Убрать пользователя из группы тоже нельзя, поскольку кроме доступа к папке она обеспечивает и другие разрешения, которые должны остаться. В такой ситуации единственным выходом остается только явный запрет на доступ для данного пользователя.

Запрещающие правила настраиваются аналогично разрешающим — заходим в настройки безопасности, выбираем пользователя\группу и проставляем нужные галки. Для примера запретим полный доступ к папке для пользвателя NoAccess.

явный запрет

Кстати, при использовании запретов система обязательно выдаст предупреждение и даже приведет пример.

предупреждение

В результате при наличии явного запрета пользователь получит такой же отказ в доступе, как и при отсутствии разрешений. Разве что сообщение немного отличается.

отказ в доступе при наличии явного запрета

Как видите, в использовании запретов нет ничего страшного, хотя, на мой взгляд, это является показателем некоторой некомпетентности. Ведь при грамотно организованной структуре прав доступа в них не должно быть необходимости.

Наследование

Наследование (Inheritance) — это один из наиболее важных моментов, о которых нужно знать при работе с файловой системой. Суть наследования заключается в том, что каждый объект файловой системы (файл или папка) при создании автоматически наследует разрешения от ближайшего родительского объекта.

Давайте проверим на практике, как работает правило наследования. Для лучшей наглядности я создал структуру папок, состоящую из нескольких уровней. На верхнем уровне находится корневая папка RootFolder, в ней расположена подпапка SubFolder, в которую вложена подпапка SubSubFolder.

структура директории

Для начала проверим разрешения корневой папки. Для этого перейдем к расширенным свойствам безопасности и посмотрим на текущие разрешения. В таблице разрешений присутствует столбец Inherited from (Унаследовано от), из которого можно узнать, какие разрешения являются унаследованным и от кого они унаследованы. Как видите, большинство разрешений папка унаследовала от диска C, на котором она расположена. Единственное не унаследованное разрешение — это разрешение для пользователя Kirill, которое было добавлено вручную.

наследование корневой папки

Теперь копнем поглубже и перейдем к свойствам папки SubSubFolder. Здесь уже все разрешения являются унаследованными, но от разных объектов. Разрешения пользователя Kirill получены от корневой папки RootFolder, остальные наследуются от диска C. Из этого можно сделать вывод, что наследование является сквозным и работает независимо от уровня вложенности объекта. Корневая папка наследует разрешения от диска, дочерняя папка наследует разрешения от родительской, файлы наследуют разрешения от папки, в которой находятся.

Это свойство наследования очень удобно использовать для назначения прав на большие файловые ресурсы. Достаточно определить права на корневую папку и они автоматически распространятся на все нижестоящие папки и файлы.

наследование подпапок

Разрешения, наследуемые от вышестоящих объектов, называются неявными (implicit), а разрешения, которые устанавливаются вручную — явными (explicit). Явные разрешения всегда имеют приоритет над унаследованными, из чего вытекают следующие правила:

• Запрет имеет более высокий приоритет над разрешением;
• Явное разрешение имеет более высокий приоритет, чем неявное.

И если расположить приоритеты разрешений в порядке убывания, то получится такая картина:

1. Явный запрет
2. Явное разрешение;
3. Неявный запрет;
4. Неявное разрешение.

Т.е. если у пользователя одновременно имеется и разрешающее, и запрещающее правило, то подействует запрет. Но если запрет унаследован, а разрешение назначено вручную, то тут уже победит разрешающее правило. Проверим ��

Для примера запретим пользователю Kirill доступ к корневой папке RootFolder, но выдадим ему доступ к дочерней папке SubSubFolder. Получается, что у пользователя на папку SubSubFolder имеется унаследованный запрет и явно выданное разрешение.

унаследованный запрет и явное разрешение

В результате пользователь может зайти в саму папку SubSubFolder, т.е. явное разрешение победило. А вот при попытке подняться выше будет получена ошибка, сработает унаследованный запрет.

отказ в доступе

Кроме плюсов наследование имеет и свои минусы. Так изменить или удалить унаследованные разрешения невозможно, при попытке вы получите ошибку. Поэтому для их изменения сначала необходимо отключить наследование.

ошибка при удалении унаследованных разрешений

Для этого надо в расширенных настройках безопасности выбранного объекта нажать кнопку Disable inheritance (Отключить наследование) и выбрать один из двух вариантов:

• Convert inherited permissions into explicit permissions on this object (Преобразовать унаследованные от родительского объекта разрешения и добавить их в качестве явных разрешений для этого объекта);
• Remove all inherited permissions from this object (Удалить все унаследованные разрешения с этого объекта).

отключение наследования

В первом варианте унаследованные разрешения остаются на месте, но становятся явными и их можно изменять и удалять.

результат при отключении наследования

Во втором — все унаследованные разрешения просто удаляются, остаются только явные (если они есть). Если же у объекта не было явных разрешений, то он станет бесхозным и ни у кого не будет к нему доступа. Впрочем, при необходимости наследование легко включить обратно, надо всего лишь нажать на кнопку Enable inheritance (Включить наследование).

удаление всех разрешений

Отключение наследования позволяет более детально настраивать разрешения для дочерних объектов. Однако может быть и обратная ситуация, когда на всех дочерних объектах надо убрать созданные вручную разрешения и заменить их на разрешения, наследуемые от родительского объекта. Сделать это просто, достаточно лишь отметить чекбокс Replace all child object permission entries with inheritable permission enntries from this object (Заменить все дочерние разрешения объекта на разрешения, наследуемые от этого объекта) и нажать «Apply».

замена всех дочерних разрешений на наследуемые

При включенном наследовании область действия унаследованных разрешений можно ограничивать, тем самым добиваясь большей гибкости при настройке разрешений. Для настройки надо перейти к разрешениям конкретного пользователя\группы и указать, на какие именно дочерние объекты должны распространяться данные разрешения:

• This folder only — разрешения распространяются только на родительскую папку, не включая ее содержимое. Т.е. к файлам и папкам, находящиеся внутри данной папки, доступа нет. Не смотря на кажущуюся бесполезность данная настройка довольно часто используется. К примеру, для корневой папки мы выдаем разрешение для всех на просмотр содержимого, но ограничиваем глубину просмотра, а уже внутри папки настраиваем права так, как нам нужно. Соответственно пользователь может зайти в папку, осмотреться и выбрать нужный ему объект. Такой подход очень удобно использовать вместе с технологией Access Based Enumeration;
• This folder, subfolders and files — разрешения распространяются на папку включая все находящиеся в ней папки и файлы. Это выбор по умолчанию;
• This folder and subfolders — разрешения распространяются на родительскую папку и подпапки, не включая файлы. Т.е. к файлам, находящимся внутри данной папки и ее подпапок, доступа нет;
• This folder and files — здесь разрешения распространяются на саму папку и находящиеся в ее корне файлы. Если в родительской папке есть дочерние папки, то к ним и их содержимому доступа нет;
• Subfolders and files only — разрешения распространяются на все файлы и папки, находящиеся внутри родительской папки, но не дают доступ к самой папке;
• Subfolders only — разрешения распространяются только на подпапки, находящиеся в данной папке. На родительскую папку, а также на файлы, находящиеся внутри родительской папки и дочерних папок разрешений нет;
• Files only — разрешения распространяются на все файлы, находящиеся внутри родительской папки и дочерних папок. На родительскую папку и подпапки разрешений нет.

варианты распространения разрешений

Данные ограничения в сочетании с расширенными разрешениями позволяют очень гибко настраивать права доступа к файлам. Для примера выдадим пользователю полный доступ к корневой папке, но установим ограничение This folder and subfolders, которое дает доступ ко всем дочерним папкам. И действительно, мы можем зайти в папку, пройти вглубь в подпапку Subsubfolder и даже посмотреть ее содержимое, а вот произвести какие либо действия с файлами у нас не получится.

запрет на доступ к файлу

Кроме определения области действия есть еще один способ ограничить наследование. Для этого надо отметить чекбокс Only apply these permissions to object and/or containers within this container (Применить данные разрешения для объектов внутри этого контейнера). Действие этого чекбокса ограничивает наследование только дочерними объектами и только данного объекта, т.е. при включении этой опции вне зависимости от выбранной области действия разрешения будут распространяться только на находящиеся в корне родительской папки файлы и папки.

ограничение наследования

Владелец

Вот мы и добрались до понятия владелец (Owner). Изначально владельцем объекта является пользователь, этот объект создавший. Что более важно, владелец имеет полный, никем и ничем не ограниченный доступ к объекту, и лишить его этого доступа достаточно сложно. Даже если владельца вообще нет в списке доступа и он не имеет никаких прав на объект, все равно он может легко это исправить и получить полный доступ.

Для примера удалим из списка доступа папки RootFolder всех ″живых″ пользователей и группы, оставим доступ только системе. Как видите, пользователь Kirill не имеет абсолютно никаких разрешений на папку, но при этом является ее владельцем.

владелец без разрешений

Теперь зайдем в систему под этим пользователем, откроем проводник и попробуем зайти в папку. Доступа к папке конечно же нет, о чем сказано в предупреждении, но при этом предлагается продолжить открытие папки.

отказ в доступе при отсутствии резрешений

Соглашаемся на предложение, жмем кнопку «Continue» и спокойно открываем папку. А если теперь проверить разрешения, то мы увидим, что пользователь Kirill появился в списке и у него полный доступ. Дело в том, что если пользователь является владельцем папки, то при попытке доступа разрешения добавляются автоматически.

полученные права

То, что владелец всегда может получить доступ к объекту, это понятно. А кто может стать владельцем? По умолчанию право сменить владельца (Take ownership) имеют члены группы локальных администраторов. Для примера отберем права владельца на папку RootFolder у пользователя Kirill. Затем заходим в расширенные свойства безопасности папки и видим, что пользователь неизвестен. Но Kirill входит в группу администраторов на компьютере и значит может вернуть себе владение папкой. Для получения прав владельца сразу жмем на кнопку «Change» или сначала на кнопку «Continue».

попытка изменения владельца

При нажатии на «Continue» окно откроется с правами администратора, а также вы получите небольшую подсказку, но затем все равно придется жать на кнопку «Change»

подсказка при попытке смены владельца

Дальше все просто, выбираем нужного пользователя (или группу), подтверждаем свой выбор

выбор нового владельца

смена владельца

и становимся владельцем. Ну а став владельцем, мы сразу увидим текущие разрешения объекта и сможем их изменять.

владелец без разрешений

Смена владельца корневой папки не означает автоматическую смену владельца у дочерних файлов\папок. Для смены владельца всех объектов внутри надо отметить чекбокс Replace owner on subcontainers and objects (Сменить владельца у подконтейнеров и объектов) и нажать «Apply».

смена владельца для всех дочерних элементов

Что интересно, при смене владельца дочерних объектов заменяются и их текущие разрешения.

замена разрешений для всех дочерних элементов

В результате Kirill становится не только владельцем, но и единственным имеющим разрешения пользователем.

результат

Какие из всего этого можно сделать выводы? Первое — владелец объекта всегда может получить к нему доступ, независимо от текущих разрешений. Второе — администратор компьютера может сменить владельца любого объекта файловой системы и, соответственно, получить к нему доступ. Если же речь идет о сети предприятия, то доменные администраторы могут получить доступ к любому файловому ресурсу в пределах своего домена. Вот так)

Просмотр текущих разрешений

Как вы уже поняли, структура разрешений файловой системы может быть весьма сложной и запутанной. Особенно это касается файловых ресурсов общего доступа, в которых разрешения назначаются не отдельным пользователям, а группам. В результате определить разрешения для отдельно взятого пользователя становится достаточно сложной задачей, ведь надо определить все группы, в которые входит пользователь, а уже затем искать эти группы в списке доступа. Ну а группы могут иметь в качестве членов другие группы, да и пользователь как правило входит не в одну группу, и зачастую эти группы имеют различные разрешения на один о тот же объект.

К счастью в Windows есть способ просто и быстро определить, какие именно разрешения имеет конкретный пользователь на данный объект файловой системы. Для этого надо в окне расширенных свойств безопасности перейти на вкладку Effective Access (Действующие разрешения), нажать на ссылку Select a user (Выбрать пользователя) и найти нужного пользователя или группу.

проверка текущих разрешений

Затем жмем на кнопку View effective access (Просмотр действующих разрешений) и получаем полный список разрешений, которые имеет выбранный пользователь на данный объект. В списке присутствуют все текущие разрешения пользователя, как полученные им непосредственно, так и назначенные на группы, в которые он входит. Это особенно актуально для системных администраторов, которым регулярно приходится разбираться с отсутствием доступа у пользователей.

текущие разрешения

Заключение

В данной статье я описал только наиболее важные моменты, которые нужно знать при работе с разрешениями файловой системы. В качестве заключения несколько правил, которые могут помочь при работе с разрешениями:

• По возможности выдавать разрешения не отдельным пользователям, а группам. Это позволяет один раз настроить все необходимые разрешения и больше не возвращаться к их редактированию, а права доступа назначать путем добавления пользователя в соответствующие группы;
• Стараться по максимуму использовать свойства наследования. Это может значительно сэкономить время, расходуемое на управление разрешениями;
• Не использовать явные запреты без крайней необходимости. Использование запретов очень сильно усложняет схему доступа, а в некоторых случаях может привести к конфликтам;
• Перед раздачей слонов разрешений, необходимо четко определиться с тем, какие именно действия пользователь\группа будет производить с файлами (читать, редактировать, создавать новые файлы\папки или выдавать разрешения) и исходя из этого назначить минимально необходимые для работы разрешения. Проще говоря, если пользователю требуется открыть файл и прочесть его, то не надо давать ему полный доступ на всю папку;
• При копировании или перемещении файлов надо помнить о том, что разрешения сохраняются только в пределах текущего логического диска (или тома). Подробнее о сохранении разрешений при копировании можно почитать здесь;
• Для облегчения управления доступом к файловым ресурсам общего доступа можно использовать дополнительные технологии, облегчающие жизнь администратора. Так технология Access Based Enumeration позволяет пользователю видеть только те объекты, к которым у него есть доступ, технология Access Denied Assistance вместо отказа в доступе выдает осмысленное сообщение и позволяет пользователю обратиться к администратору или владельцу ресурса с запросом через специальную форму. Можно еще упомянуть Dynamic Access Control, хотя это уже отдельная большая тема.

Это в общем-то далеко не rocket science, но некоторые не знают. ⁠ ⁠

Решил таки выйти из спячки в сообществе, и накропать небольшой пост.

Как известно, редкий файловый сервер обходится без разграничения доступа к тем или иным каталогам или документам. И, в то же время, периодически возникают задачи, когда не имеющему доступ в родительский каталог сотруднику, требуется предоставить доступ в дочерний.

И вот тут то, кто-то начинает создавать новые сущности, кто-то еще как-то начинает извращаться, хотя есть простейший способ дать необходимые права, про который почему-то постоянно забывают.

Это в общем-то далеко не rocket science, но некоторые не знают. Сисадмин, Права доступа, Traverse, Длиннопост

Как это выглядит на практике. Представьте, что у нас есть каталог с данными, которые доступ к которым необходимо разграничить.

Это в общем-то далеко не rocket science, но некоторые не знают. Сисадмин, Права доступа, Traverse, Длиннопост

Пусть это будет, например, папка Serials. В самом простейшем случае, отключаем наследование, и запрещаем пользователю доступ в папку Serials.

Это в общем-то далеко не rocket science, но некоторые не знают. Сисадмин, Права доступа, Traverse, Длиннопост

Т.к. мы убрали право на листинг каталогов, то для этого пользователя данная папка пропала из проводника.

Это в общем-то далеко не rocket science, но некоторые не знают. Сисадмин, Права доступа, Traverse, Длиннопост

При попытке зайти в каталог, с прямым указанием UNC пути в данном случае — мы получим следующую ошибку:

Это в общем-то далеко не rocket science, но некоторые не знают. Сисадмин, Права доступа, Traverse, Длиннопост

Но, внезапно этому пользователю понадобился доступ в конкретную папку этого каталога. Не давать же ему прав на доступ ко всем файлам, находящимся в родительской папке..

И тут нам приходит на помощь Traverse. Выбрав необходимый каталог, зайдя в дополнительные параметры безопасности, и добавив пользователя, которому необходимо предоставить права доступа в этот каталог, мы получаем следующую картину:

Это в общем-то далеко не rocket science, но некоторые не знают. Сисадмин, Права доступа, Traverse, Длиннопост

Выбираем тип разрешения, область применения, и необходимые права доступа к этой папке, не забываем нажать дополнительные разрешения, и выбираем там пункт Траверс папок/выполнение файлов.

В результате, мы имеем возможность прямого доступа по UNC пути в каталог, минуя вышестоящую папку, в которую мы не имеем прав доступа:

Это в общем-то далеко не rocket science, но некоторые не знают. Сисадмин, Права доступа, Traverse, Длиннопост

А уже с этим — мы можем делать что хотим. Например, замапить с помощью групповых политик сотруднику сетевой диск с доступом в эту папку, или создать ярлык на рабочем столе, с помощью них же.

P.S.: Я прекрасно понимаю, что для многих это будет далеко не открытием, но возможно, кому-то из сообщества пригодится.

1K поста 15.4K подписчиков

Правила сообщества

# mount -o remount,rw /sysadmins_league

— # mount /dev/good_story /sysodmins_league

— # mount /dev/photo_it /sysodmins_league

— # mount /dev/best_practice /sysodmins_league

— # mount /dev/tutorial /sysodmins_league

На следующем скриншоте нет никакой ошибки.

штука прикольная, но нужно всем пользователям ярлыки раскидывать. Делаю это через «содержание папки/чтение данных» применить только к этой папке, ну и группы доступа в домене.

На файловой помойке у меня больше 50 групп доступа. Политика компании в отношении доступа к данных полна боли и страданий 😬

О, у меня тоже папка с материалами по английскому произношению «Pron» называется.

«pron»? от мамки шифруется))))

В связи с отсутствием кулхацкеров, а также иногда весьма сурового объёма некоторых папок, постоянным обменом файлами «сверху» «вниз», у которых нет доступа, но иногда надо, а также внезапными озарениями начальства, что «вот этому помощнику открой каталог на два дня, ну этот, куда только у директората допуск, надо, чтобы поработала», то на практически все папки, за некоторым исключением, дал доступ «Изменить» на группу «Пользователи домена» и разруливаю с помощью DFS с явно заданными разрешениями для групп. Всё быстрей, чем права лопатить туда-сюда.

Ответ на пост «ОПГ Анимешников о_О»⁠ ⁠

Короче кто не в теме что произошло и как это было — тусовались анимешники в ТЦ (торговом центре), как все подростки тусуются в ТЦ, обсуждали свои японские мультики и хихикали, кто кому бы вдул из тянок (девочек из аниме).

Ответ на пост «ОПГ Анимешников о_О» ЧВК Редан, Юмор, Сарказм, Грустный юмор, Скриншот, Мат, Ирония, Ответ на пост, Длиннопост, Видео

Одеты фанаты аниме были естественно в стиле своих любимых героев — крашенные волосы и толстовки с символами из мультфильма. Тут к ним пристала другая группа подростков — тупо гопники, нацики, фанаты футбола. Гопники начали анимешников ущемлять и провоцировать, ну и началась драка. Короче гопники, неожиданно, получили хороших пиздюлей.

Информация об этом просочилась, всякие блогеры и телеграмм каналы осветили это и кто-то пульнул шутку, что анимешники организовали опг под названием ЧВК Рёдан (ЧВК (частная военная компания) — потому что модное слово, а Рёдан — потому что у каких-то анимешников был паук с цифрой 4 на спине, это в аниме пауков носили местные гопники «Рёдан» (аниме, где обитали эти гопники — подростковое, поэтому преступления эти гопники совершали там соответствующие).

Вы поняли? Реальные футбольные гопники спровоцировали и получили пизды от фанатов мультиков, в которых последние подражали мультипликационным гопникам, а блогеры, в шутку этих героев назвали ЧВК Рёдан.

И тут понеслось, стали массово появляться сообщения, что ЧВК (они же ЧВК, значит они что-то должны захватывать) Рёдан захватили ТЦ Плаза и с боем прорываются к свободной кассе Вкусно и точна. Сотрудники ЧВК Рёдан были замечены в ТЦ Северный, где они захватили палатку со сладостями.

Я вам напомню, что никаких ЧВК Рёдан не существует.

Государство возбудилось. А как не возбудиться? Подростки же устроили бунт, посыпались массовые звонки в органы (от тех же подростков, которые в это время тусовались в разных ТЦ), что в каком-то ТЦ видели организованные группы подростков, пытающиеся оные захватить. Массово выехал ОМОН (видео как ОМОН штурмует ТЦ полно) и стал пытаться найти представителей ЧВК Рёдан, которые пытаются захватить ТЦ. И ОМОН их нашел и даже немного побил.

Дети, вы готовы? Да, капитан!

Помните футбольных фанатов, которые любят подраться с другими подростками, которые выглядят не так, как они? Те самые футбольные фанаты, которые получили пизды от анимешников (причем получили заслуженно и очень позорно)? Как вы думаете, гопники смирились с мыслью, что их побили любителе Маши и Медведя? Конечно же нет. Был брошен кличь и все около-фанатские группировки обоссанных футбольных фанатов, гопников и нациков, бросились ловить анимешников в ТЦ, что бы им отомстить. А анимешники что, дурачки, ждать подкрепление ауе’шной гопоты (запрещенная организация в России)? Нет конечно, они пошли домой хвастаться в Телеграмме и в ВК, что наконец-то дали отпор гопникам! Тем более их дома ждет мама со вкусными пирожками и их любимая виртуальная тянка в экране компьютера!

Злые гопники бегали по нескольким ТЦ и ловили группки детей и подростков (которые обычно тусуются во всех ТЦ любой страны мира) в поисках анимешников, но найти их не могли, дали по шее нескольким ни в чем не повинным детям и тут гопники увидели их. По всем эскалаторам медленно в 2 ряда в полной выкладке поднимались ровные ряды ОМОНА.

Ответ на пост «ОПГ Анимешников о_О» ЧВК Редан, Юмор, Сарказм, Грустный юмор, Скриншот, Мат, Ирония, Ответ на пост, Длиннопост, Видео

Тут гопники поняли, что что-то не так, но бежать уже было некуда. ОМОН сурово окинул взглядом представителей ЧВК Рёдна, которые прямо у них на глазах захватывают ТЦ и бьют невинных детей.

Начался настоящий эпический бой ОМОНА с ЧВК Рёдан!

Ну как эпический. Эпический, но не долгий, т.к. ОМОН это не анимешники (может быть только скрытые) и футбольных дурачков-гопников он отпиздил намного быстрее настоящими резиновыми дубинками, чем любители японской анимации своими воображаемыми расенганами, которыми пуляют анимешники (энергетическая сфера, выпускаемая сложенными руками в направлении противника — её никто не видит, кроме владельца)!

Ответ на пост «ОПГ Анимешников о_О» ЧВК Редан, Юмор, Сарказм, Грустный юмор, Скриншот, Мат, Ирония, Ответ на пост, Длиннопост, Видео

Пошли массовые отчеты от ОМОНА о массовых задержаниях новой подростковой опг! Куча фото и видео наполнили сеть.

Подключились какие-то около-военные блогеры, разгоняя эти новости, люди в шутку пошли делать карты торговых центров, где на подобии Бахмута на Украине были отображены продвижение участников ЧВК Рёдан и противостоящих им бойцов ОМОНА, показаны какие магазины модной одежды и рестораны с вкусняшками уже захвачены и т.д.

Ответ на пост «ОПГ Анимешников о_О» ЧВК Редан, Юмор, Сарказм, Грустный юмор, Скриншот, Мат, Ирония, Ответ на пост, Длиннопост, Видео

Начали выступать общественные деятели и политики. какие-то старые пердуны опять решили всё запретить, ничего не понимая и не разобравшись во всем. Выступила Мизулина с резким осуждением деструктивной деятельности (я вам напомню — не существующей организации) ЧВК Рёдан, повылазили всякие депутаты-долбаёбы с предложением вообще запретить аниме.

Ох. Анимешники, которые дали пизды гопника в это время кушали мамины пирожки с горячим сладким чаем и смотрели новую серию их любимого аниме. ОМОН грузил толпы отпизженных гопников в автозаки, думая что это ЧВК Рёдан. а шум всё нарастал.

Что слышат подростки? Хотят запретить их любимые японские мультики. Что делают подростки, когда кто-то им что-то запрещает? Делают всё наоборот! Вы запрещаете аниме из-за ЧВК Рёдан? Значит мы туда вступим!

Эффект Стрейзанд (англ. Streisand effect) — социальный феномен, выражающийся в том, что попытка изъять определённую информацию из публичного доступа (цензура) приводит лишь к её более широкому распространению (обычно посредством интернета).

Подростки кинулись в ВК и Телеграмм искать единомышленников в своих городах, никого не находили и начали создавать каналы и группы, привлекая туда новых участников. эти сообщества росли как на дрожжах. Просто нереальные толпы подростков реально пошли на улицы и в ТЦ, что бы показать государству, что не надо их обижать и ущемлять их права.

Это идиотия разрослась на огромное количество городов, перекинулось на Беларусь и Украину.

Сейчас толпы подростков бегают по площадям Украинских городов возле местных ТЦ и кричат «Нет войне». Беларусь как и Россия выпустили ОМОН и ловят толпы подростков.

Разобравшись, что ЧВК Рёдна не существует и это откровенный фейк, выросший из чей-то шутки, наши представители власти сразу же сменили риторику, заявив, что это всё проделки Украинского ЦИПСО. нееееет, изначально это всё ваша ебанутость и ссыкливость привела к такому положению вещей.

Я вам напомню. Анимешники побили напавших на них гопников.

Ответ на пост «ОПГ Анимешников о_О» ЧВК Редан, Юмор, Сарказм, Грустный юмор, Скриншот, Мат, Ирония, Ответ на пост, Длиннопост, Видео

Народный юмор уже начал перемалывать всю это идиотскую ситуацию.

UPD/ экспертное мнение от Жоры:

Псковский десант, я вас помню мужики, каждый год!⁠ ⁠

Псковский десант, я вас помню мужики, каждый год!

Ну и мр@зь же ты⁠ ⁠

Небольшое предисловие.
Ради эксперимента организовал внеочередное собрание собственников в ГИС ЖКХ. Голосование электронное, авторизация через Госуслуги, подделать голоса нельзя, по крайней мере мне не известен способ, да и любой собственник может в личном кабинете посмотреть свой бланк. Вопросы на голосовании поставлены насущные но без особых финансовых вливаний, чтобы не вмешиваться в формирование бюджета. Это не понравилось председателю ТСЖ. Потихоньку начинает "греть" людей. Кто-то слушает, кто-то посылает, а кто-то верит. И вот что получилось сегодня утром:

Ну и мр@зь же ты WhatsApp, Странности, Длиннопост, ТСЖ, Соседи, Скриншот

Не стал полемизировать , не стал придираться к словам. Скинул инструкцию и ссылку на раздел ГИС ЖКХ где можно узнать о всех проверках в отношении ТСЖ ну и о штрафах:

Ну и мр@зь же ты WhatsApp, Странности, Длиннопост, ТСЖ, Соседи, Скриншот

Вот такой я мудак, на вранье ловлю.

Ну и мр@зь же ты WhatsApp, Странности, Длиннопост, ТСЖ, Соседи, Скриншот

Девушки: «Держу пари, он изменяет мне!»⁠ ⁠

Тем временем парни

Когда в вакансии не соврали, но всё равно что-то не так. ⁠ ⁠

Когда в вакансии не соврали, но всё равно что-то не так.

Наш маленький секрет⁠ ⁠

Наш маленький секрет Комиксы, Перевод, Skeletonclaw, Юмор, Google Chrome, Режим инкогнито, Браузер

Ответ Vzazu в «Ревнивец»⁠ ⁠

У меня тоже есть, что рассказать!

Было лет 15 назад. Выходной, часов 6 утра, сладко спим с парнем. Звонок на сотовый, зачем-то взяла трубку, там оооочень возмущённый женский голос:

— Это ConDar? (имя прям угадала, но оно у меня распространëнное)

— Вы зачем моему Диме звоните?

Тут я аж проснулась:

— Какому Диме? Вы о чём вообще?

— Моему Димеееее. Хватит звонить.

— Девушка, у меня из знакомых Дим только бывший одноклассник, которого я с самого выпуска и не видела. И вообще, 6 утра! Совесть имейте.

— В смысле 6 утра? Я куда звоню?

— В Москву вы звоните!

— Ой, кажется, правда ошиблась, я из Уфы. Извините.

Трубку положила, очень надеялась спать дальше, тут звонок с этого же номера и, собственно, фраза, из-за которой я и запомнила эту историю:

— Я, конечно, извиняюсь, что опять звоню, но, скажите, пожалуйста: я могу вам доверять?

Ответ на пост «Ревнивец»⁠ ⁠

Ооо, у меня есть что вспомнить)

Совсем недавно забираю ребенка из музыкалки, рядом топчется её одноклассница, мама за ней не приехала вовремя, а на телефоне нет денег. Начали звонить с моего телефона, дозвонились, они там договорились, всё.

На следующий день мне звонок с какого то номера, мужик:»Аллё», «Слушаю» отвечаю.

Мужик завис, видимо то, что ответила женщина сбило его настройки.

«. а это кто?» говорит.

«Вы по какому вопросу?» спрашиваю (ну мало ли,может по работе)

Тут мужик решили идти ва-банк.

«Ты зачем моей жене вчера звонила, а?»

Я затупила, стала вспоминать, кому я звонила вчера.

«Это кому?» спрашиваю.

«МОЕЙ ЖЕНЕ! ТЫ ЗАЧЕМ ЗВОНИЛА?»

«Иди на хер, мужик», повесила трубку.

Мне еще потом в довесок прилетела смска:

«НЕ ЗВОНИ МОЕЙ ЖЕНЕ.»

Вау, подумала я, какие страсти..

Единственный вариант, кому я звонила накануне, это мама той девочки из музыкалки..

Как не скучно живут люди)

Заблуждения о шахтерах⁠ ⁠

Хотелось бы рассказать вам о такой не лёгкой профессии как шахтёр, и развеять всё слухи.
1. Шахта это не сложная работа. Мы работаем всего лишь 8 часов, и не факт, что ты будешь выполнять свои прямые обязанности. Очень часто бывает, что в забое нет напряжения, нет давления воды, нет давления воздуха, сработал датчик метана, сработал датчик подачи кислорода, и тд. При этом вся работа останавливается. И мы валяемся, спим. Но иногда да, приходится работать так, что можно от пота выжимать робу. Когда нужен план (датчики не занавешеваем) мы работаем.
2 . Работа в шахте это не сахар. Абсолютная правда. Если ты любишь замкнутые пространства , сырость, сквозняки, шум, опасность, пыль, долгие переходы ногами, грязь, то это работа для тебя. Шахта даст тебе всё это с лихвой!
3. Среди шахтёров нет алкоголиков. Каждую смену необходимо дважды дышать в трубку, и бывают внезапные проверки по наркотикам. Все кто пьёт сильно, или даже балуется травой давно отсеялись.
4. Шахтёры тупые. Такие же как и все, как и в других профессиях, есть кто умнее, есть кто тупой. Тупой будет всю жизнь на лопате.
Раз в год проверка знаний (обучение 5 дней и экзамен), раз в год проверка тб(обучение 14 дней и экзамен) обучение владения новой техникой. Ежедневно, способы добычи угля меняются, в вместе с ней и работа. Это всё надо изучать. Начиная от цифр (концентрация метана, концентрация угарного газа, примеси в шахтной атмосфере от дизельного транспорта, закачивание газа, для проверки огне опасности)
Продолжая шахтными машинами. На которых надо учится ездить. РЕД, Дрифтраннер, Шарф, ЕД, и многое другое.
И заканчивая требованиями безопасности, охотой на риски, ежесменовоой инструктацией .
4. в шахте опасно. В шахте опасно.
5 . Мало платят за такой не лёгкий труд.
59 дней отпуск в году, 70 к белой зп. Премии, поощерения, выслуга, Оплачевыемые больничные, раз в три года бесплатные билеты и отдых в санатории. Хм..
6. Работа в офисе, тупо тыкать пальцами по клаве. О нет. Я работал и там, и там. И могу сказать с уверенностью, сидеть на попе весь день, а потом грязным ехать через весь город домой. Я отработал смену, принял горячий душ, зашёл в столовую, заказал себе кофе, дождался комфортабельный автобус, и приехал домой.
А дома жена, которой я говорю какой я уставший нахуй с шахты пришёл)))) шутка
Не верьте ребят в стереотипы) всё профессии важны (кроме риэлторов).
Всем всех благ. Если есть вопросы задавайте)

Что такое траверс папок

Добрый день. Помогите разобраться с правом папки Traverse Folder.

Есть сервер (SERVER). На нем есть общая папка SHARE. Пользователь имеет право на чтение только этой паки, без наследования в низ. В ней есть папки TEST (SHARE\TEST — у пользователя права Traverse Folder, а также чтение атрибутов и разрешений), в папке TEST папкаTEST1 (SHARE\TEST\TEST1-полный доступ на папку и подпапки) и в ней файл TEST.TXT (SHARE\TEST\TEST1\TEST.TXT)

Если я правильно понимаю смысл Traverse Folder, при обращение по прямой ссылке \\SERVER\SHARE\TEST\TEST1\test.txt, пользователь должен получить доступ к этому файлу.

У меня такого не получается, при попытке открыть в проводнике данный путь, выдается ошибка «Не удается найти файл…».

Что я делаю не так, или я неправильно понял смысл Traverse Folder?

Ответы

Разрешение Traverse Folder на практике не нужно — по умолчанию все участники безопасности в Windows имеют привилегию Обход перекрёстной проверки, которая заменяет это разрешение (кстати, отключать эту привилегию не рекомендуется: структура имён в Windows — она более сложная, и корнем её является отнюдь не "Мой компьютер", так что могут быть неприятные сюрпризы).

Другое дело, что Проводник пытается заглянуть в каждую папку на указнном ему пути, а потому требует разрешения на чтение содиржимого папки.

В нашей практике мы обходили это путём создания ярдыков на нужные папки.

  • Помечено в качестве ответа Petko Krushev Microsoft contingent staff 11 июня 2014 г. 11:15

Все ответы

Traverse Folder при запрете вы не увидите содержимое директории

Traverse Folder при разрешении увидите содержимое директории (увидите названия файлов, каталогов и пр.)

Для файлов этот атрибут означает запускать выполняемые файлы

  • Изменено Vector BCO 2 июня 2014 г. 7:26

Атрибуты Read attributes и Read permissions установлены. И все равно немогу получить доступ через проводник к SHARE\TEST\TEST1.

Зачем устанавливать List Folder / Read Data ? Тогда пользователь получит доступ на чтение ко всем папкам и файлам дерева (SHARE\TEST в моем примере). А надо как раз ограничить доступ в другие, не разрешенные пользователю папки.

  • Изменено klipp 2 июня 2014 г. 10:01

если у пользователя полные права на папку TEST1 + наследование прав на файл test.txt и вы не можете получить доступ то наверное дело в разрешениях на шару.

Я не очень понимаю, вы хотите что бы пользователь видел доступные для него папки\файлы в TEST или нет?

Я не очень понимаю, вы хотите что бы пользователь видел доступные для него папки\файлы в TEST или нет?

У пользователя полные права на папку TEST1 + наследование прав на файл test.txt . Если я набираю в строке "выполнить" SHARE\TEST\TEST1\TEST.TXT, то файл открывается. Доступ есть, что с Traverse Folder, что без него. Тот же результат при открытие файла или папки TEST1 через ярлык, сохранный на рабочем столе . Если я открываю проводник и указываю путь SHARE\TEST\TEST1\ то выдается ошибка "Не удается найти SHARE\TEST\TEST1. Проверьте правильность пути или адреса в интернете".

Да я хотел, чтобы пользователь видел доступные для него файлы и папки, или смог открыть доступные папки через проводник. Но при этом не получал доступ к другим папкам (TEST), и не видел файлы и папки в других каталогах, к которым у него нет доступа.

Как я предполагал Traverse Folder должен дать доступ к каталогу TEST1 при прямом обращение.

Попробуйте такой линк

  • Изменено Vector BCO 2 июня 2014 г. 15:17

выставляйте разрешение List Folder / Read Data на папку TEST и ставьте применение только к папке

Клиент будет видеть только доступные ему папки.

выставляйте разрешение List Folder / Read Data на папку TEST и ставьте применение только к папке

Клиент будет видеть только доступные ему папки.

Спасибо за совет.

Да при включенном ABE, в этом случае пользователь увидит только свою папку TEST1. Но причем здесь Traverse Folder?. Предложенная Вами схема будет работать и без включенного Traverse Folder.

А если доступ нужен для папки более глубоко уровня вложенности?

Как говорит Microsoft:

Право Обход перекрестной проверки позволяет пользователю просматривать папки в файловой системе NTFS или реестра без проверки наличия разрешения специального доступа Обзор папок . Право Обход перекрестной проверки не позволяет пользователю выводить список содержимого папки. Она позволяет пользователю проходить только его.

И это у меня не получается воспроизвести. Или я, что то не так понимаю.

Разрешение Traverse Folder на практике не нужно — по умолчанию все участники безопасности в Windows имеют привилегию Обход перекрёстной проверки, которая заменяет это разрешение (кстати, отключать эту привилегию не рекомендуется: структура имён в Windows — она более сложная, и корнем её является отнюдь не "Мой компьютер", так что могут быть неприятные сюрпризы).

Другое дело, что Проводник пытается заглянуть в каждую папку на указнном ему пути, а потому требует разрешения на чтение содиржимого папки.

В нашей практике мы обходили это путём создания ярдыков на нужные папки.

  • Помечено в качестве ответа Petko Krushev Microsoft contingent staff 11 июня 2014 г. 11:15

Разрешение Traverse Folder на практике не нужно — по умолчанию все участники безопасности в Windows имеют привилегию Обход перекрёстной проверки, которая заменяет это разрешение (кстати, отключать эту привилегию не рекомендуется: структура имён в Windows — она более сложная, и корнем её является отнюдь не "Мой компьютер", так что могут быть неприятные сюрпризы).

Другое дело, что Проводник пытается заглянуть в каждую папку на указнном ему пути, а потому требует разрешения на чтение содиржимого папки.

В нашей практике мы обходили это путём создания ярдыков на нужные папки.

Слава России!

Это уже похоже на правду. По крайней мере мне приходит такая же мысль.

Хотя фраза Microsoft — позволяет пользователю просматривать папки в файловой системе NTFS или реестра без проверки наличия разрешения специального доступа Обзор папок — конечно очень смутила. И я изначально предположил, что будет доступ по дереву через проводник, не показывая папки с закрытым доступом.

Только отключение Bypass traverse checking, в политике, не дало изменений на моей тестовой среде. Папки как открывались с ярлыка, так и открываются. Несмотря на выставление Traverse Folder. Хотя тут, может, где то я и ошибся сам, уже.

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *