我们使用Active Directory
运行Windows Server 2003 R2
,并且遇到networking共享问题,用户试图保护其文档,从其文件/文件夹权限中删除所有人(包括Administrator
帐户)。 由于Administrator
不再具有对他们的read
权限,所以我们甚至不能手动备份文件,因为我们得到许可错误。
我们find的一个解决scheme是将文件和目录的owner
更改为Administrator
帐户。 然后,我们可以根据需要更改权限。 问题是,这必须手动完成,所以不能真正应用于整个共享。
我们尝试过的另一个解决scheme是使用cacls
,如下所示:
cacls d:\path\to\share /C /T /E /G Administrator:F
与此问题是,我们仍然在Administrator
被删除的文件/文件夹上获得ACCESS DENIED
错误。
问题1:是否有办法以recursion方式至lessread
对Administrator
帐户的所有文件/文件夹的read
权限?
那将是短期的。 从长远来看,我们正在寻找一种解决scheme来防止用户从文件/文件夹权限中删除Administrator
。 既然我们即将迁移到Windows Server 2008 R2
我们可以等到我们已经迁移到实施这样的解决scheme,如果需要的话。
Q2:有没有办法阻止用户从Windows Server 2003/2008的文件/文件夹权限中删除pipe理员?
问题1:是否有办法以recursion方式至less读取对pipe理员帐户的所有文件/文件夹的读取权限?
如果权限被inheritance(即不在不同的文件和文件夹中单独设置),那么更改根文件夹的权限并设置“replace所有子对象…”checkbox将replace具有inheritance权限的所有权限。
这当然会取代应该具有不同权限的子项目的权限。
Q2:有没有办法阻止用户从Windows Server 2003/2008的文件/文件夹权限中删除pipe理员?
没有。
虽然有一个单独的标志为“更改权限”,但Windows将忽略该文件的所有者(所有者可以随时更改权限),否则空ACL(或者拒绝所有人都使用ACE)将不可逆。
我们甚至无法手动备份文件,因为我们得到权限错误。
你为什么要这样的手动操作? 备份软件应该运行并断言会绕过ACL的备份(以及还原,还原)权限。 如果用户需要手动备份他们自己的文件的一部分,那么他们可以很容易地复制。
也许这是一个真正的用户培训问题:如果您拒绝pipe理员访问,那么pipe理员不能帮助您进行文件pipe理。
究竟该做什么取决于这个问题有多广泛 – 有多less人做了这个以及受影响的目录是如何构成的。
您应该设置共享目录,以便个人和组目录inheritance权限。 那么,如果不是太多的人,你可以控制他们的目录并重置权限。 或者你可以告诉每一个人 – “直到你让pipe理员使用你的账户,然后改回来,你才能为你做好备份”。
(并告诉他们,如果他们再次这样做,他们会感到抱歉,“无备份”是问题的开始。)
如果广泛的话,你可以取得所有权,设置所需的pipe理权限(在此之后,我会让它“完全控制”,而不仅仅是读权限),然后添加适当的用户或组权限。
清理后,你可以防止它再次发生这样的事情。 您可以让用户完全控制NTFS的权限,只需设置共享权限而不是完整的。 networking访问是两者的结合。 当pipe理团队需要通过networking完全控制数据时,请使用driveLetter $共享中的一个到共享级别仍然完全控制的相同path。