Управление доступом

В основе системы безопасности лежат два основных понятия: проверка подлинности и авторизация. Управление доступом — это модель реализации методов авторизации. После проверки подлинности учетной записи пользователя ей предоставляется доступ к объектам; тип доступа определяется разрешениями, назначенными этим объектам, и в отдельных случаях — правами пользователя.

  • Рекомендации по управлению доступом см. в разделе Советы и рекомендации.
  • Справку по выполнению конкретных задач см. в разделе Инструкции.
  • Сведения общего характера см. в разделе Основные понятия.


Советы и рекомендации

Разрешения

  • Старайтесь устанавливать разрешения для групп, а не для отдельных пользователей.

    • Поскольку непосредственное сопровождение учетных записей пользователей, как правило, неэффективно, назначать разрешения отдельным пользователям следует лишь в исключительных случаях.

  • Устанавливайте разрешения, которые могли бы наследоваться дочерним объектам.
  • Лучше назначать не индивидуальные разрешения, а разрешения Полный доступ, если это допустимо.
  • Запретить доступ может потребоваться в следующих случаях:
    • чтобы исключить каких-либо пользователей из группы, которой предоставлены определенные разрешения;
    • чтобы отменить какое-либо особое разрешение, если пользователю или группе уже предоставлен полный доступ.

Права пользователей

  • Назначайте права на максимально высоком уровне дерева контейнера, насколько это возможно. Таким образом достигается наиболее широкий охват действующими правами. Назначаемые права должны подходить большинству участников безопасности.
  • Для распространения прав в дереве используйте механизм наследования. Параметры управления доступом будут быстро и эффективно применены ко всем дочерним объектам или в поддереве родительского объекта.
  • Администраторам рекомендуется использовать учетную запись с ограниченными разрешениями для выполнения повседневных задач, не связанных с администрированием, и учетную запись с более широкими правами только для выполнения отдельных административных задач. Чтобы для этого не требовалось каждый раз выходить из системы и затем входить повторно, войдите с обычной учетной записью и затем с помощью команды Запустить как запускайте программы, требующие более широких прав.

См. также


Инструкции

  • Установка, просмотр, смена и удаление разрешений для файлов и папок
  • Установка, просмотр, смена и удаление особых разрешений для файлов и папок
  • Смена владельца файла или папки
  • Просмотр действующих разрешений для файла или папки


Установка, просмотр, смена и удаление разрешений для файлов и папок

Рисунок Microsoft Windows

Чтобы установить, просмотреть, сменить или удалить разрешения для файлов и папок

  1. Откройте проводник и найдите файл или папку, для которой требуется установить разрешения.
  2. Щелкните файл или папку правой кнопкой мыши, выберите команду Свойства и перейдите на вкладку Безопасность.
  3. Выполните одно из следующих действий.
    • Чтобы установить разрешения для группы или пользователя, которого нет в списке Группы или пользователи, нажмите кнопку Добавить. Введите имя группы или пользователя, для которого устанавливаются разрешения, и нажмите кнопку ОК.
    • Чтобы сменить или удалить разрешения на доступ для существующей группы или пользователя, выберите имя этой группы или пользователя.
  4. Выполните одно из следующих действий.
    • Чтобы предоставить или отменить разрешение, в списке Разрешения для Имя пользователя или группы установите соответственно флажок Разрешить или Запретить.
    • Чтобы удалить группу или пользователя из списка Группы или пользователи, нажмите кнопку Удалить.

Важно!

  • Сведения о том, как просмотреть вкладку Безопасность, не будучи членом домена, см. в разделе Чтобы отобразить вкладку «Безопасность».

Примечания

  • XOX
  • В Windows XP Professional группа «Все» больше не включает в себя группу «Анонимный вход».
  • Разрешения на доступ к файлам и папкам можно устанавливать только на дисках, отформатированных для файловой системы NTFS.
  • Изменять разрешения может только владелец объекта или те пользователи, которым он предоставил соответствующие разрешения.
  • Группы и пользователи, которым предоставлен полный доступ к папке, могут удалять из нее файлы и подпапки независимо от имеющихся разрешений на доступ к этим файлам и подпапкам.
  • Если флажки в списке Разрешения для Имя пользователя или группы затенены или кнопка Удалить недоступна, значит, данный объект унаследовал разрешения от родительской папки. Для получения дополнительных сведений о наследовании свойств файлами и папками щелкните ссылку «См. также».
  • При добавлении нового пользователя или группы им по умолчанию назначаются разрешения Чтение и выполнение, Список содержимого папки и Чтение.

Дополнительные сведения о разрешениях на доступ к другим объектам см. в разделе Разрешения.

См. также


Установка, просмотр, смена и удаление особых разрешений для файлов и папок

Рисунок Microsoft Windows

Чтобы установить, просмотреть, сменить или удалить особые разрешения для файлов и папок

  1. Откройте проводник и найдите файл или папку, для которой требуется установить особые разрешения.
  2. Щелкните файл или папку правой кнопкой мыши, выберите команду Свойства и перейдите на вкладку Безопасность.
  3. Нажмите кнопку Дополнительно и выполните одно из следующих действий.
    4. Задача | Действие
Установить особые разрешения для новой группы или пользователя | Нажмите кнопку Добавить. В поле Имя введите имя пользователя или группы и нажмите кнопку ОК
Установить особые разрешения для существующей группы или пользователя | Выберите имя пользователя или группы и нажмите кнопку Изменить
Удалить существующую группу или пользователя вместе с его особыми разрешениями | Выберите имя пользователя или группы и нажмите кнопку Удалить. Если кнопка Удалить недоступна, снимите флажок Наследовать от родительского объекта применимые к дочерним объектам разрешения, добавляя их к явно заданным в этом окне, нажмите кнопку Удалить и пропустите следующие два шага
  4. В списке Разрешения установите или снимите соответствующий флажок (Разрешить или Запретить).
  5. В столбце Применять выберите папки или подпапки, к которым должны будут применяться данные разрешения.
  6. Чтобы предотвратить наследование этих разрешений файлами и подпапками, снимите флажок Применять эти разрешения к объектам и контейнерам только внутри этого контейнера.
  7. Нажмите кнопку ОК и затем в окне Дополнительные параметры безопасности для ИмяПапки снова нажмите кнопку ОК.

Внимание!

  • Если установить флажок Заменить разрешения для всех дочерних объектов заданными здесь разрешениями, применимыми к дочерним объектам, добавляя их к явно заданным в этом окне, то все разрешения для подпапок и файлов будут отменены, и вместо них будут назначены разрешения, установленные для родительского объекта. После нажатия кнопки Применить или ОК это изменение уже нельзя будет отменить, сняв упомянутый флажок.

Важно!

  • Сведения о том, как просмотреть вкладку Безопасность, не будучи членом домена, см. в разделе Чтобы отобразить вкладку «Безопасность».

Примечания

  • XOX
  • Группа «Все» больше не включает в себя группу с разрешением «Анонимный вход».
  • Если установить флажок Наследовать от родительского объекта применимые к дочерним объектам разрешения, добавляя их к явно заданным в этом окне, то данный файл или папка будет наследовать разрешения от родительского объекта.
  • Разрешения можно устанавливать только на дисках, отформатированных для файловой системы NTFS.
  • Если какие-либо флажки в списке Разрешения затенены, это означает, что данные разрешения наследуются из родительской папки.
  • Изменять разрешения может только владелец объекта или те пользователи, которым он предоставил соответствующие разрешения.
  • Группы и пользователи, обладающие разрешением на «Полный доступ» к папке, могут удалять из нее файлы и подпапки, независимо от имеющихся разрешений на доступ к этим файлам и подпапкам.

Дополнительные сведения о разрешениях на доступ к другим объектам см. в разделе Разрешения.

См. также


Смена владельца файла или папки

Рисунок Microsoft Windows

Чтобы стать владельцем файла или папки

  1. Откройте проводник и найдите файл или папку, владельцем которой хотите стать.
  2. Щелкните файл или папку правой кнопкой мыши, выберите команду Свойства и перейдите на вкладку Безопасность.
  3. Нажмите кнопку Дополнительно и перейдите на вкладку Владелец.
  4. В списке Изменить владельца на выберите нового владельца.
  5. (Необязательный шаг) Чтобы сменить владельца всех субконтейнеров и объектов в дереве, установите флажок Заменить владельца субконтейнеров и объектов.

Примечания

  • XOX
  • Сведения о том, как просмотреть вкладку Безопасность, не будучи членом домена, см. в разделе Чтобы отобразить вкладку «Безопасность».
  • Передать права владения можно двумя способами.
    • Текущий владелец может наделить других пользователей разрешением Смена владельца, после чего они смогут в любой момент стать владельцем объекта.
    • Администратор может стать владельцем любого файла на компьютере. Однако он не может передать право владения другим пользователям. Такое ограничение необходимо для того, чтобы администратор нес ответственность за свои действия.
  • В Windows XP Professional группа «Все» больше не включает в себя группу «Анонимный вход».

См. также


Просмотр действующих разрешений для файлов и папок

Рисунок Microsoft Windows

Чтобы просмотреть действующие разрешения для файлов и папок

  1. Откройте проводник и найдите файл или папку, чьи действующие разрешения требуется просмотреть.
  2. Щелкните файл или папку правой кнопкой мыши, выберите команду Свойства и перейдите на вкладку Безопасность.
  3. Нажмите кнопку Дополнительно и перейдите на вкладку Действующие разрешения.
  4. Нажмите кнопку Выбрать.
  5. В поле Имя введите имя пользователя или группы и нажмите кнопку ОК. Установленные флажки соответствуют действующим разрешениям на доступ пользователя или группы к данному файлу или папке.

Примечания

  • XOX
  • Сведения о том, как просмотреть вкладку Безопасность, не будучи членом домена, см. в разделе Чтобы отобразить вкладку «Безопасность».
  • Группа «Все» принимается во внимание во всех случаях, только если выбранный пользователь или группа не принадлежит группе «Анонимный вход». В Windows XP Professional группа «Все» больше не включает в себя группу «Анонимный вход».
  • При вычислении разрешений не проверяются следующие идентификаторы безопасности: «Анонимный вход», «Прошедшие проверку», «Пакетные файлы», «Группа-создатель», «Создатель-владелец», «Удаленный доступ», «Контроллеры домена предприятия», «Все», «Сеть», «Прокси», «Ограниченные», «Self», «Служба», «Система» и «Пользователь сервера терминалов». Примером может служить пользователь, выполняющий удаленный доступ к файлу.
  • На вкладке Действующие разрешения показаны данные, вычисляемые на основе записей об имеющихся разрешениях. Поэтому содержимое этой страницы доступно только для чтения; разрешения пользователя нельзя изменять, устанавливая или снимая флажки разрешений.
  • Разрешения можно устанавливать только на дисках, использующих файловую систему NTFS.

См. также


Основные понятия

В этом разделе содержатся сведения общего характера о средстве управления доступом.

  • Общие сведения о средстве управления доступом
  • Общее представление об управлении доступом
  • Использование средства управления доступом


Общие сведения об управлении доступом

Управление доступом заключается в предоставлении пользователям, группам и компьютерам определенных прав на доступ к объектам по сети. Ниже перечислены основные понятия, связанные с управлением доступом.

Разрешения

Разрешения определяют тип доступа к объекту или его свойству, допустимый для пользователя или группы. Например, группе пользователей финансового отдела можно предоставить разрешения на чтение и запись для файла платежной ведомости payroll.dat.

Разрешения применяются к защищенным объектам, таким как файлы, объекты Active Directory или объекты реестра. Разрешения могут быть предоставлены любому пользователю, группе или компьютеру. Рекомендуется назначать разрешения группам.

Разрешения на доступ к объектам могут назначаться:

  • группам, пользователям и специальным группам домена;
  • группам и пользователям данного или любого доверенного домена;
  • локальным группам и пользователям компьютера, на котором находится объект.

Разрешения, назначаемые объекту, зависят от его типа. Например, разрешения, которые могут быть назначены для файла, отличаются от разрешений, допустимых для раздела реестра. Однако некоторые разрешения являются общими для большинства типов объектов. Эти общие разрешения перечислены ниже.

  • Чтение разрешений
  • Смена разрешений
  • Смена владельца
  • Удаление

При установке разрешений необходимо определить уровень доступа для групп и пользователей. Например, одному пользователю можно разрешить читать содержимое некоторого файла, другому — вносить изменения в файл, а всем остальным пользователям вообще запретить доступ к этому файлу. Так же можно устанавливать разрешения на доступ к принтерам, чтобы одни пользователи могли настраивать принтер, а другие — только печатать на них.

Если требуется изменить разрешения для отдельного объекта, можно просто запустить нужную программу и внести изменения в свойства объекта. Например, чтобы изменить разрешения на доступ к файлу, запустите проводник, щелкните имя файла правой кнопкой мыши и выберите команду Свойства. На вкладке Безопасность можно изменить разрешения для файла. Дополнительные сведения см. в разделе Разрешения.

Владение объектами

При создании объекта ему назначается владелец. По умолчанию владельцем объекта становится его создатель. Какие разрешения ни были бы установлены для объекта, владелец объекта всегда может изменить эти разрешения. Дополнительные сведения см. в разделе Владение объектом.

Наследование разрешений

Механизм наследования облегчает администраторам задачи назначения разрешений и управления ими. Благодаря этому механизму разрешения, установленные для контейнера, автоматически распространяются на все объекты этого контейнера. Например, файлы, создаваемые в папке, наследуют разрешения этой папки.

Аудит объектов

Доступ пользователей к объектам можно подвергнуть аудиту. События, связанные с безопасностью, можно просматривать в журнале безопасности, используя программу просмотра событий. Дополнительные сведения см. в разделе Аудит.


Общее представление об управлении доступом

Рисунок Microsoft Windows

Общие сведения об управлении доступом

В этом разделе рассматриваются следующие темы.

  • Разрешения и дескрипторы безопасности
  • Явные и унаследованные разрешения
  • Владение объектом
  • Действующие разрешения
  • Влияние наследования на разрешения для файлов и папок
  • Идентификаторы безопасности
  • Права пользователей


Разрешения и дескрипторы безопасности

Каждому контейнеру и объекту в сети назначается набор данных, относящихся к управлению доступом. Этот набор данных, называемый дескриптором безопасности, определяет, какой тип доступа разрешается пользователям и группам. Дескриптор безопасности создается автоматически вместе с контейнером или объектом. Типичным примером объекта с дескриптором безопасности является файл.

Разрешения определяются в дескрипторе безопасности объекта. Разрешения сопоставляются, или назначаются, конкретным пользователям или группам. Например, группе «Администраторы» могут быть назначены разрешения на чтение, запись и удаление файла Temp.dat, а группе «Операторы» — только на его чтение и запись.

Каждое назначение разрешений пользователю или группе описывается элементом разрешения, или записью управления доступом (ACE). Весь комплект элементов разрешений в дескрипторе безопасности называется набором разрешений. Так, набор разрешений для файла Temp.dat включает два элемента: один для группы «Администраторы» и другой для группы «Операторы».


Явные и унаследованные разрешения

Существуют два типа разрешений: явные и унаследованные.

Явные разрешения устанавливаются по умолчанию при создании объекта или назначаются пользователем.

Унаследованные разрешения передаются от родительского объекта к дочернему. Наследование разрешений облегчает управление доступом и обеспечивает единообразие разрешений для всех объектов, находящихся в данном контейнере.

По умолчанию объекты наследуют разрешения контейнера, в котором они создаются. Например, если создать папку с именем «Моя папка», то все файлы и подпапки, создаваемые в этой папке, автоматически унаследуют ее разрешения. Таким образом, разрешения папки «Моя папка» являются явными, а разрешения для находящихся в ней файлов и подпапок — унаследованными.

Дополнительные сведения об унаследованных разрешениях см. в разделе Влияние наследования на разрешения для файлов и папок.


Владение объектом

У каждого объекта — будь это объект тома NTFS или объект каталога Active Directory — имеется владелец. Владелец управляет назначением разрешений на доступ к объекту.

Владельцем объекта может стать:

  • администратор (по умолчанию группе «Администраторы» предоставляется право Смена владельца);
  • любой пользователь или любая группа, обладающая разрешением Смена владельца для данного объекта.

При создании объекта пользователь, создавший его, автоматически становится его владельцем. Большинство объектов в Active Directory и на серверах в сети (размещаемых при установке программ на сервер) создаются администраторами, которые являются и их владельцами. Пользователи являются создателями и владельцами файлов данных в своих личных каталогах, а также некоторых файлов на сетевых серверах.

Смена владельца может осуществляться следующими способами.

  • Текущий владелец может предоставить другому пользователю разрешение Смена владельца, после чего тот сможет в любой момент стать владельцем объекта. Для передачи прав владения пользователь должен сам выполнить операцию смены владельца.
  • Владельцем может стать администратор.

Хотя администратор может вступить в права владения, он не может передавать это право другим пользователям. Такое ограничение необходимо для того, чтобы администратор нес ответственность за свои действия.

См. также


Действующие разрешения

Чтобы узнать, какими разрешениями на доступ к данному объекту обладает тот или иной пользователь или группа, можно воспользоваться средством вычисления действующих разрешений. Это средство позволяет определить, какие разрешения предоставлены конкретному пользователю или группе.

При вычислении действующих разрешений принимаются во внимание разрешения, обеспечиваемые групповой принадлежностью, а также разрешения, унаследованные от родительского объекта. Во время вычисления просматриваются все домены и локальные группы, к которым принадлежит данный пользователь или группа.

При вычислении разрешений не проверяются следующие идентификаторы безопасности: «Анонимный вход», «Прошедшие проверку», «Пакетные файлы», «Группа-создатель», «Создатель-владелец», «Удаленный доступ», «Контроллеры домена предприятия», «Интерактивные», «Сеть», «Прокси», «Ограниченные», «Self», «Служба», «Система» и «Пользователь сервера терминалов». Примером может служить пользователь, выполняющий удаленный доступ к файлу.

Действующие разрешения, предоставленные пользователю или группе, помечаются галочкой.

Группа «Все» принимается во внимание всегда, кроме случаев, когда выбранный пользователь или группа принадлежит к группе «Анонимный вход». В Windows XP Professional группа «Все» больше не включает в себя группу «Анонимный вход».

Дополнительные сведения см. в разделе Чтобы просмотреть действующие разрешения для файлов и папок.


Влияние наследования на разрешения для файлов и папок

После того как установлены разрешения на доступ к родительской папке, создаваемые в ней новые файлы и подпапки будут наследовать эти разрешения. Если требуется предотвратить наследование разрешений, при настройке особых разрешений на доступ к родительской папке выберите в списке Применять пункт Только для этой папки. В случаях, когда необходимо отменить наследование разрешений только для некоторых файлов или подпапок, щелкните этот файл или подпапку правой кнопкой мыши, выберите команду Свойства, перейдите на вкладку Безопасность и снимите флажок Наследовать от родительского объекта применимые к дочерним объектам разрешения, добавляя их к явно заданным в этом окне.

Если флажки затенены, значит, этот файл или папка унаследовали разрешения от родительской папки. Изменить унаследованные разрешения можно тремя способами.

  • Внесите изменения в разрешения для родительской папки, и они будут унаследованы данным файлом или папкой.
  • Измените разрешение на противоположное (Разрешить вместо Запретить или наоборот), чтобы отменить унаследованное разрешение.
  • Снимите флажок Наследовать от родительского объекта применимые к дочерним объектам разрешения, добавляя их к явно заданным в этом окне. Теперь можно изменить разрешения или удалить пользователя или группу из списка разрешений. Однако после этого данный файл или папка больше не будет наследовать разрешения от родительской папки.

Флажок Запретить имеет более высокий приоритет, чем флажок Разрешить, если только объект не наследует от различных папок противоречащие друг другу значения этих параметров. В таких случаях в силу вступает значение, унаследованное от родительской папки, ближайшей к объекту в иерархической структуре.

Дочерние объекты наследуют только наследуемые разрешения. Устанавливая разрешения для родительского объекта, можно указать в списке Применять, смогут ли эти разрешения наследоваться папками и подпапками. Дополнительные сведения см. в разделе Выбор объектов для применения разрешений.

Если требуется узнать, какие разрешения на доступ к данному объекту предоставлены тому или иному пользователю или группе, это можно сделать в любой момент с помощью средства вычисления действующих разрешений.

См. также


Идентификаторы безопасности

Идентификаторы безопасности (SID) — это числовые коды, обозначающие пользователей и группы. Для каждой записи таблицы управления доступом существует идентификатор безопасности, указывающий пользователя или группу, для которых доступ разрешен, запрещен или подлежит аудиту.

Известные идентификаторы безопасности (специальные группы)

Идентификатор | Описание
Анонимный вход (S-1-5-7) | Пользователь, который подключился к компьютеру, не предъявив имя пользователя и пароль
Прошедшие проверку (S-1-5-11) | Все пользователи и компьютеры, прошедшие проверку подлинности. Сюда не включаются пользователи, вошедшие с гостевой учетной записью, даже если они предъявляли пароль
Пакетные файлы (S-1-5-3) | Все пользователи, вошедшие в систему с помощью какого-либо средства обработки очередей программ, такого как планировщик заданий.
Создатель-владелец (S-1-3-0) | Прототип в наследуемой записи таблицы управления доступом. Когда эта запись наследуется, система заменяет данный прототип идентификатором безопасности текущего владельца объекта
Группа-создатель (S-1-3-1) | Прототип в наследуемой записи таблицы управления доступом. Когда эта запись наследуется, система заменяет данный прототип идентификатором безопасности основной группы текущего владельца объекта
Удаленный доступ (S-1-5-1) | Все пользователи, вошедшие в систему через подключение удаленного доступа
Все (S-1-10) | На компьютерах, работающих под управлением Windows XP Professional, группа «Все» включает в себя группы «Прошедшие проверку» и «Гость». На компьютерах, работающих под управлением более ранних версий Windows, группа «Все» включает группы «Прошедшие проверку», «Гость» и «Анонимный доступ». Дополнительные сведения см. в разделе Различия между параметрами безопасности по умолчанию
Интерактивные (S-1-5-4) | Все пользователи, входящие в систему на локальном компьютере или через подключение к удаленному рабочему столу
Локальная система (S-1-5-18) | Учетная запись службы, используемая операционной системой
Сеть (S-1-5-2) | Все пользователи, входящие в систему через сетевое подключение. Описатели доступа для интерактивных пользователей не содержат идентификатор безопасности «Сеть»
Self (или Principal Self) (S-1-5-10) | Прототип в записи таблицы управления доступом для объекта Active Directory, обозначающего пользователя, группу или компьютер. Предоставление разрешений объекту с идентификатором Principal Self означает предоставление разрешений участнику безопасности, соответствующему этому объекту. В ходе проверки доступа операционная система заменяет данный прототип идентификатором участника безопасности, представленного объектом
Служба (S-1-5-6) | Группа, в которую включаются все участники безопасности, вошедшие в систему в качестве службы. Членством в этой группе управляет операционная система
Пользователи сервера терминалов (S-1-5-13) | Все пользователи, вошедшие на сервер Terminal Services 4.0, работающий в режиме совместимости приложений.

Дополнительные сведения о группах «Администраторы» (S-1-5-32-544), «Опытные пользователи» (S-1-5-32-547), «Операторы архива» (S-1-5-32-551) и «Пользователи» (S-1-5-32-545) см. в разделе Параметры безопасности по умолчанию.

Дополнительные сведения об известных идентификаторах безопасности см. на веб-узле Microsoft Resource Kits (http://www.microsoft.com/).


Использование средства управления доступом

В этом разделе рассматриваются следующие темы.

  • Разрешения
  • Разрешения для файлов и папок
  • Выбор объектов для применения разрешений
  • Смена унаследованных разрешений


Разрешения

Управление объектами осуществляют диспетчеры объектов. Для каждого типа объектов предусмотрен свой диспетчер. Ниже в таблице перечислены типы объектов и разделы, в которых описываются их диспетчеры и процедуры управления этими объектами.

Тип объекта | Описание разрешений | Процедуры
Файлы и папки | Разрешения для файлов и папок | Установка, просмотр, смена и удаление разрешений для файлов и папок или Установка, просмотр, смена и удаление особых разрешений для файлов и папок
Общие ресурсы | Разрешения для общих ресурсов | Задание разрешений для общего ресурса
Разделы реестра | Обеспечение безопасности реестра | Добавление пользователей или групп в список разрешений
Службы | Разрешения служб | Безопасность файловой системы, реестра и системных служб локального компьютера
Принтер | Разрешения системы безопасности для печати | Задание и отмена разрешений на доступ к принтеру
Подключения к службам терминалов | Разрешения для подключений или Управление доступом к подключению | Организация управления доступом к подключениям
Объект групповой политики | Применение фильтра к групповой политике в соответствии с членством в группе безопасности или Разрешения по умолчанию | Задание разрешений для управления групповой политикой
Объект WMI | Авторизация пользователей WMI и задание разрешений | Авторизация пользователей WMI и задание разрешений


Особые разрешения для файлов и папок

Рисунок Microsoft Windows

Разрешения для файлов и папок

Существуют следующие разрешения на доступ к папкам: Полный доступ, Изменение, Чтение и выполнение, Список содержимого папки, Чтение и Запись. Каждое из этих разрешений представляет собой логическую группу особых разрешений, которые перечислены и описаны ниже.

Разрешение | Описание
Обзор папок / Выполнение файлов | Для папок: «Обзор папок» разрешает или запрещает перемещение по структуре папок в поисках других файлов или папок, даже если пользователь не обладает разрешением на доступ к просматриваемым папкам (применимо только к папкам). Разрешение на обзор папок действительно только в том случае, если группа или пользователь не обладает правом Обход перекрестной проверки, устанавливаемым в оснастке «Групповая политика». (По умолчанию группа «Все» наделена правом Обход перекрестной проверки.) Для файлов: «Выполнение файлов» разрешает или запрещает запуск программ (применимо только к файлам). Разрешение «Обзор папок» для папки не означает автоматическую установку разрешения «Выполнение файлов» для всех файлов в этой папке
Содержание папки / Чтение данных | «Содержание папки»: разрешает или запрещает просмотр имен файлов и подпапок, содержащихся в папке. Это разрешение относится только к содержимому данной папки и не означает, что имя самой этой папки также должно включаться в список (применимо только к папкам). «Чтение данных»: разрешает или запрещает чтение данных, содержащихся в файлах (применимо только к файлам)
Чтение атрибутов | Разрешает или запрещает просмотр таких атрибутов файла или папки, как «Только чтение» и «Скрытый». Атрибуты определяются файловой системой NTFS
Чтение дополнительных атрибутов | Разрешает или запрещает просмотр дополнительных атрибутов файла или папки. Дополнительные атрибуты определяются программами и могут различаться для разных программ
Создание файлов / Запись данных | «Создание файлов»: разрешает или запрещает создание файлов в папке (применимо только к папкам). «Запись данных»: разрешает или запрещает внесение изменений в файл и запись поверх имеющегося содержимого (применимо только к файлам)
Создание папок / Дозапись данных | «Создание папок»: разрешает или запрещает создание папок внутри папки (применимо только к папкам). «Дозапись данных»: разрешает или запрещает внесение данных в конец файла, но не изменение, удаление или замену имеющихся данных (применимо только к файлам)
Запись атрибутов | Разрешает или запрещает смену таких атрибутов файла или папки, как «Только чтение» и «Скрытый». Атрибуты определяются файловой системой NTFS. Разрешение «Запись атрибутов» не подразумевает права на создание или удаление файлов или папок: разрешается только вносить изменения в их атрибуты. Сведения о том, как разрешить (или запретить) операции создания и удаления, см. в описаниях разрешений Создание файлов / Запись данных, Создание папок / Дозапись данных, Удаление подпапок и файлов и Удаление
Запись дополнительных атрибутов | Разрешает или запрещает смену дополнительных атрибутов файла или папки. Дополнительные атрибуты определяются программами и могут различаться для разных программ. Разрешение «Запись дополнительных атрибутов» не подразумевает права на создание или удаление файлов или папок: разрешается только вносить изменения в их атрибуты. Сведения о том, как разрешить (или запретить) операции создания и удаления, см. в описаниях разрешений Создание файлов / Запись данных, Создание папок / Дозапись данных, Удаление подпапок и файлов и Удаление
Удаление подпапок и файлов | Разрешает или запрещает удаление подпапок и файлов даже при отсутствии разрешения «Удаление» (применимо только к папкам)
Удаление | Разрешает или запрещает удаление файла или папки. Если для файла или папки отсутствует разрешение «Удаление», объект все же можно удалить при наличии разрешения «Удаление подпапок и файлов» для родительской папки
Чтение разрешений | Разрешает или запрещает чтение таких разрешений на доступ к файлу или папке, как «Полный доступ», «Чтение» и «Запись»
Смена разрешений | Разрешает или запрещает смену таких разрешений на доступ к файлу или папке, как «Полный доступ», «Чтение» и «Запись»
Смена владельца | Разрешает или запрещает вступать во владение файлом или папкой. Владелец файла или папки всегда может изменять разрешения на доступ к ним независимо от любых разрешений, защищающих этот файл или папку
Синхронизация | Разрешает или запрещает ожидание различными потоками файлов или папок и синхронизацию их с другими потоками, могущими занимать их. Это разрешение применимо только к программам, выполняемым в многопоточном режиме с несколькими процессами

См. также


Выбор объектов для применения разрешений

Устанавливая дополнительные разрешения на доступ к файлам и папкам, можно воспользоваться диалоговым окном Элемент разрешения для имя_файла_или_папки и выбрать в нем папки и подпапки, которые должны будут наследовать разрешения. В списке Применять этого диалогового окна показано, к каким объектам можно применять разрешения. Правила применения этих разрешений устанавливаются в зависимости от состояния флажка Применять эти разрешения к объектам и контейнерам только внутри этого контейнера. По умолчанию этот флажок снят.

Дополнительные сведения см. в разделе Влияние наследования на разрешения для файлов и папок.

Если флажок Применять эти разрешения к объектам и контейнерам только внутри этого контейнера снят

Применять | Разрешения применяются к текущей папке | Разрешения применяются к подпапкам текущей папки | Разрешения применяются к файлам в текущей папке | Разрешения применяются ко всем вложенным подпапкам | Разрешения применяются к файлам во всех вложенных подпапках
Только для этой папки | x |  |  |  |
Для этой папки, ее подпапок и файлов | x | x | x | x | x
Для этой папки и ее подпапок | x | x |  | x |
Для этой папки и ее файлов | x |  | x |  | x
Только для подпапок и файлов |  | x | x | x | x
Только для подпапок |  | x |  | x |
Только для файлов |  |  | x |  | x

Если флажок Применять эти разрешения к объектам и контейнерам только внутри этого контейнера установлен

Применять | Разрешения применяются к текущей папке | Разрешения применяются к подпапкам текущей папки | Разрешения применяются к файлам в текущей папке | Разрешения применяются ко всем вложенным подпапкам | Разрешения применяются к файлам во всех вложенных подпапках
Только для этой папки | x |  |  |  |
Для этой папки, ее подпапок и файлов | x | x | x |  |
Для этой папки и ее подпапок | x | x |  |  |
Для этой папки и ее файлов | x |  | x |  |
Только для подпапок и файлов |  | x | x |  |
Только для подпапок |  | x |  |  |
Только для файлов |  |  | x |  |

См. также


Смена унаследованных разрешений

Если при просмотре разрешений на доступ к объекту флажки разрешений оказываются затенены, значит, эти разрешения унаследованы от родительского объекта. Изменить унаследованные разрешения можно тремя способами.

  • Внесите изменения в разрешения на доступ к родительскому объекту, и эти изменения будут унаследованы данным объектом.
  • Измените разрешение на противоположное (Разрешить вместо Запретить или наоборот), чтобы отменить унаследованное разрешение.
  • Снимите флажок Наследовать от родительского объекта применимые к дочерним объектам разрешения, добавляя их к явно заданным в этом окне. Теперь можно изменить разрешения или удалить пользователей или группы из списка Разрешения. Однако после этого данный объект больше не будет наследовать разрешения от родительской папки.

На странице Дополнительно в списке Элементы разрешений имеется столбец Применять к, где указаны папки и подпапки, к которым применяется соответствующее разрешение. В столбце Унаследовано от указано, откуда наследуются разрешения.

Если строка Особые разрешения в списке Разрешения для имя пользователя или группы затенена, отсюда не следует, что данное разрешение было унаследовано. Это означает, что выбрано особое разрешение. Дополнительные сведения см. в разделе Чтобы установить, просмотреть, сменить или удалить особые разрешения для файлов и папок.

См. также


Разрешения для файлов и папок

Особые разрешения | Полный доступ | Изменение | Чтение и выполнение | Список содержимого папки (только для папок) | Чтение | Запись
Обзор папок/Выполнение файлов | x | x | x | x |  |
Содержание папки/Чтение данных | x | x | x | x | x |
Чтение атрибутов | x | x | x | x | x |
Чтение дополнительных атрибутов | x | x | x | x | x |
Создание файлов/Запись данных | x | x |  |  |  | x
Создание папок/Дозапись данных | x | x |  |  |  | x
Запись атрибутов | x | x |  |  |  | x
Запись дополнительных атрибутов | x | x |  |  |  | x
Удаление подпапок и файлов | x |  |  |  |  |
Удаление | x | x |  |  |  |
Чтение разрешений | x | x | x | x | x | x
Смена разрешений | x |  |  |  |  |
Смена владельца | x |  |  |  |  |
Синхронизация | x | x | x | x | x | x

Внимание!

  • Группы и пользователи, которым предоставлен полный доступ к папке, могут удалять любые файлы в такой папке, независимо от разрешений на доступ к этим файлам.

Примечания

  • Хотя разрешения «Список содержимого папки» и «Чтение и выполнение» включают в себя одни и те же особые разрешения, они наследуются по-разному. Разрешение «Список содержимого папки» наследуется только папками, но не файлами, и отображается только при просмотре разрешений на доступ к папкам. Разрешение «Чтение и выполнение» наследуется как файлами, так и папками, и всегда отображается при просмотре разрешений на доступ к файлам или папкам.
  • Для получения сведений о назначении разрешений и описания всех особых разрешений щелкните ссылку «См. также».
  • В Windows XP Professional группа «Все» больше не включает в себя группу «Анонимный вход».

См. также


Отображение вкладки «Безопасность»

Рисунок Microsoft Windows

Чтобы отобразить вкладку «Безопасность»

  1. Откройте компонент «Свойства папки» на панели управления.
      2. XOX
  2. На вкладке Вид в группе Дополнительные параметры снимите флажок Использовать простой общий доступ к файлам (рекомендуется).

См. также


Разрешения на файловом сервере

Одним из сценариев использования разрешений является организация доступа к файлам, находящимся на файловом сервере. Например, предположим, что необходимо установить разрешения для файлов на сервере, обслуживающем небольшой отдел. На сервере размещается папка приложений, личные папки сотрудников отдела, общая папка, где находятся файлы для совместного доступа, а также папка для составляемых пользователями отчетов, читать которые может только начальник отдела.

Папка приложений. Все файлы этой папки, являющиеся исполняемыми программами, должны быть доступны всем пользователям только для чтения, во избежание занесения вирусов и «троянских коней». Членам группы «Администраторы» можно предоставить разрешение на изменение, чтобы они могли сами назначить себе разрешение на запись, когда понадобится обновить какую-либо программу.

Если ни одна из программ не производит запись в файлы (например, в файлы инициализации), находящиеся в их собственных папках, эти папки также следует сделать доступными только для чтения.

Личные папки. Каждому пользователю необходимо предоставить полный доступ к его личной папке, не давая никаких разрешений на доступ к другим папкам.

Общая папка. Всем пользователям можно предоставить разрешение на внесение изменений в эту папку. Такое разрешение будет более уместно, чем полный доступ, поскольку при полном доступе любой пользователь также получит возможность назначать разрешения для общей папки и становиться ее владельцем.

Принимающая папка. Чтобы подготовить папку, в которую пользователи могли бы направлять свои отчеты, назначьте встроенным группам «Пользователи» или «Все» разрешения на добавление в эту папку, а начальнику отдела предоставьте разрешение на внесение изменений, чтобы он мог читать эти файлы.

Доступ к локальным системным папкам и подпапкам рекомендуется разрешить только для групп «Администраторы» и «Операторы сервера».