我是一个Windowspipe理员，所以那些与Windows集成可能是最有帮助的。 我在这一点上的主要挑战是文件共享，但随着SharePoint的使用增加，它只会使这个更难。
我已经安装了所有的目录，许多设置了最less访问策略的安全组也是允许的。 我的问题是追踪所有人力资源和合规的原因。
用户A需要对资源1的许可。他需要获得资源1的经理的批准，然后经理的经理也需要批准这个访问。 一旦完成了这一切，我可以做出改变。 在这一点上，我们只是在纸上进行跟踪，但是当用户A被重新分配并且不再能够访问资源1以及其他场景时，这是一种负担，并且可能不符合合规性。
我知道我要找的东西应该已经存在，但我不知道去哪里寻找，我正在向社区伸出援助之手。
编辑：
感谢您的回应。 我认为他们涉及技术方面，希望我的问题不是无关紧要的。 我应该让自己的目标更清晰。 您使用什么系统向审核员显示Xdate的用户A已经添加/删除了权限，并且已获得经理Y的批准？ 目前我有一个基本的票务系统，但是我没有看到它以一种容易理解的格式提供我所需要的。
在我看来，我想象的是一些会对用户A有报告的东西，它会显示对他们的权限所做的所有更改。 理想情况下链接到Active Directory的东西将是理想的，但在这一点上，我希望find更基本的东西。 我希望有一个专门为此的应用程序。 我觉得这一定是大企业的必需品，而这样的软件是存在的。
谢谢！
你需要一个票务系统，提供3件事情：
几乎所有的票务系统都已经以票据创builddate，修改date等forms为您提供了＃1号票。＃2由您在票证中logging。 通常这是来自资源pipe理器的批准电子邮件，它被粘贴到票证中，表示他们可以访问（或访问应该被删除）以及什么types。 ＃3是最重要的，取决于票务系统，但是如果你有一个不容易search的系统，那么你的工作就被裁减掉了。 如果您只需要用户进行search，以便所有的许可权证都与售票系统中的联系信息相关联，那么您就是好的，否则您基本上会将您的更改logging到黑洞中。
在售票系统之外，可以这样做来跟踪更改（您提到您拥有基本的售票系统，因此您可能需要更好的search/报告function），您使用的任何应用程序，实用程序或脚本将仅提供权限的快照。 你仍然坚持“为什么？” 谁有权访问哪些内容，哪些内容只能与应用程序分开正确logging，因为您可能需要从资源pipe理器中捕获原始电子邮件或其他批准文本。 一旦你有了，你把它放在哪里与应用程序的结果相关联？
运行应用程序或脚本来确定文件结构中的当前权限也不会为用户提供很好的权限更改审计跟踪。 你基本上被困在当前权限的一个大的快照。 当您再次运行它时，您将拥有另一个大的文件权限快照。 即使您保留了第一个权限捕获并将其与最近的捕获进行比较，并且权限已经更改，那么您如何将其与更改原因绑定？ 再次，这将我们带回售票系统，因为＃1,2和3以上都将logging在一个地方。
你提出的另一个问题是权限蔓延（当用户被重新分配给另一个权限，不再需要访问资源X，但仍然保留它，因为他们不再需要访问资源X的事实不是由IT运行过渡期间）。 控制这一点的唯一方法是告诉人力资源部门或处理员工重新分配的人员，在员工重新分配时需要通知IT部门，以便他们可以正确地分配和撤销权限。 而已。 没有神奇的应用程序会告诉你一个用户可以访问资源X，但现在不应该了，因为他们的工作现在是Y.在这种情况发生时，必须以某种forms给人类通知IT。
如果你已经有一个票务系统，我build议在你的应用程序中为这些types的请求创build一个新的组或者标签等等，并且让用户发送许可证改变的票据。 如果您的票务系统允许您将票转给其他用户，或者将票添加到票中，请添加所需的pipe理员并要求进行validation。 这可以让你保留一个logging来覆盖你的工作。
如上所述，为每个共享创build一个安全组。 在我的环境中，我们将有名为FIN_Yearly，GEN_Public，MGM_Reports的股票（每个部门都有自己的缩写）。 然后安全组将被命名为SG_FIN_YearlyAdmin，SG_FIN_YearlyUser，SG_GEN_PublicAdmin等。用户是只读的，Admin是可读/写的。
从这里你可以创build，例如SG_FinancialsManager; 包括其他安全组的安全组，以便根据他们所做的工作来简化访问。 我们个人不这样做，因为它跟踪了一下。 而不是检查一个股份的SG，并看到一堆权限的SG，我们有一个用户列表，而不是。 个人喜好，真的，将取决于您的网站的大小。 我们通常使用用户模板来pipe理新用户到特定的位置。
如果您的票务系统允许您search以前的票，那么您已经完成了很多工作。 如果有人要求您删除用户的权限，则可以对其进行跟踪。 如果用户质疑他们不再有权访问，则可以向他们提供票据。 如果经理询问您有权访问哪些人员，请打印请求的安全组。
实际上有几个商业应用程序。 该地区有时被称为“数据治理”。
几个例子：
Varonis数据治理套件
http://www.varonis.com/products/data-governance-suite/index.html
Quest One Identity Manager – 数据治理版
http://www.quest.com/identity-manager-data-governance
我不使用这些，而是研究了这个话题，看了一些演示，可能需要的范围才能解释市场。 这些应用程序非常复杂，而且不便宜。 他们中的一些人有非常复杂的方法挂钩到存储平台来跟踪访问控制列表。 即使它不在你的预算范围内，演示也可能有助于从functionangular度了解这样的应用程序。
我在审查这个报告时所观察到的一个观察结果是，他们通常不会在文件级进行审计。 如果他们这样做了，就不可能扩大到数以亿计或数十亿计的文件。 所以他们通常只在目录级别跟踪权限。
我不知道如何logging/跟踪他们，但我分配他们的团体。
用户A需要访问资源＃1。 他们获得许可，并将他们添加到访问组。
他们继续谈论他们的业务，直到有一天他们被重新分配/解雇，然后我将他们从接入小组中移除。
我的账户修改审计日志告诉我他们何时获得/失去了访问权限，因此有一个logging，而资源访问组通常是部门组（HR，IT，销售，财务等），因此pipe理重新分配通常意味着更改其组无论如何都是会员
这往往在较小的环境下工作得最好 – 对于较大的环境或ACL非常复杂的环境， Zoredache提供了一个关于ACL调整的系统在一定程度上做文档的好处
为了发起添加/删除访问请求，重新分配用户等等，我build议使用电子纸（票务系统） – 这样可以确保用户不会错过任何一个漏洞，但需要全面的企业认可才能使用电子系统。
与纸质相比，您可以获得一些可以search的内容，每个人都可以从办公桌上完成他们的部分工作（pipe理员可以更快地批准，因为没有办公室间的邮件信封，IT部门可以尽快地授予/撤销访问当票证出现在某人的垃圾箱等）
我发现做一个权限设置的最佳方式是基于angular色的。
GG_HR GG_Finance等，通常映射到职位或业务单位。
从那里你可以创build具有资源权限的本地组，即打印机或财务目录。 LG_RoomXPrinter LG_Finance_Read LG_Finance_FullControl
您为这些本地组LG-> GG创build全局组，然后在基于angular色的全局组中添加基于权限的全局组。
GG_Finance < – LG_Finance_FullControl，LG_RoomXPrinter
当人们进入一个angular色时很容易，您只需将他们的帐户添加到一个组中，并且他们的权限从该angular色中stream出，并且更容易跟踪。 （如果您使用某种身份pipe理系统，这也很棒）。 跟踪谁拥有什么样的个人权限会容易得多，您知道如果他们在HR组中，他们拥有X权限。
你可以通过作业pipe理系统跟踪他们的群体移动，或者运行脚本来吐出谁是基于angular色的群组。
两个伟大的工具：
AccessEnum还允许您保存其结果，然后在将来进行比较，这对于查找更改很有用。
您应该考虑启用审核文件/文件夹权限更改，然后收集文件服务器安全日志（手动或使用任何事件日志pipe理工具或SIEM，如Splunk），并将其用于文档。 分析对文件DACL的所有更改。 另外，如上所述，您可以使用AccessEnum和AccessChk对此进行补充。
而这并不能解除你设置适当的安全权限，而只是通过组来分配它们。