Permissões do Windows - não permitem que o usuário exclua o arquivo, mesmo se ele for o proprietário

Question

Eu tenho uma conta de usuário configurada para que possa criar pastas / arquivos, mas NÃO pode excluir pastas / arquivos criados por outros usuários; no entanto, eles ainda podem excluir pastas / arquivos que eles criaram. Eu não quero que eles sejam capazes de fazer isso.

Existe uma maneira de impedir que os usuários excluam as coisas, mesmo que sejam o proprietário / criador?

Ou, posso alterar automaticamente o proprietário de uma pasta / arquivo para administrador quando ele é criado, bloqueando a conta de usuário geral de poder excluí-lo?

Alguma ideia ou sugestão?

    

Answer 1

Impede que os proprietários de objetos NTFS alterem as permissões

Se os usuários acessarem seus dados por meio de um compartilhamento de rede do Windows, um administrador do sistema poderá impedir que o proprietário de um arquivo ou pasta NTFS altere as permissões não concedendo a permissão Controle total compartilhamento :

Créditopara this artigo para o conceito.

Portanto, sejam quais forem as permissões concedidas aos usuários, elas permanecerão em vigor, mesmo para os proprietários de objetos, já que elas não poderão exercer suas habilidades como Proprietário para conceder a si mesmas permissões não permitidas pelo administrador do servidor. / p>     

Answer 2

A chave é que os usuários podem excluir um arquivo se a ACL do arquivo permitir que ele seja excluído ou se a ACL do diretório que contém contiver a permissão delete-child. Você precisa se certificar de que esse usuário limitado não tenha permissão. Na pasta especial da qual eles não devem excluir arquivos, atribua a eles as seguintes permissões na janela Configurações avançadas de segurança:

• Permitir "percorrer pasta / executar arquivo", "listar pasta / ler dados", "ler atributos", "ler atributos estendidos", "criar arquivos / gravar dados", "criar pastas / anexar dados" e "ler permissões "on" esta pasta e subpastas "
• Negar "excluir subpastas e arquivos", "excluir" e "alterar permissões" em "esta pasta, subpastas e arquivos"
• Permitir controle total em "somente arquivos" (isso será moderado pela regra de negação anterior)

Mas como esse usuário é o proprietário de todos os arquivos criados, ele tem o direito de alterar as permissões para permitir a exclusão. A última peça do quebra-cabeça é o arcano OWNER RIGHTS principal. Você pode digitar essa frase diretamente na caixa de diálogo de seleção do usuário, onde você normalmente digitaria o nome de um usuário ou grupo. Crie uma última regra na pasta que concede apenas "permissões de leitura" em "subpastas e arquivos apenas" para OWNER RIGHTS . A única vantagem de ser o proprietário de um arquivo nessa pasta é que ele garante a capacidade de ver a ACL, mas não de alterá-la.

    

Answer 3

Basta usar negar permissões, pois elas anulam permissões.

Observe que, em qualquer caso, o proprietário pode modificar as permissões para permitir a exclusão de arquivos. Se isso acontecer, é um claro ato de vontade, e não por acaso, que geralmente está bem.

Além disso, observe, se você definir negar permissões, provavelmente você, alguns programas e scripts em execução no servidor, não poderá mais excluir ou mover arquivos até que você altere as permissões novamente.

    

Answer 4

Dependendo de quais são os motivos para querer isso, o backup periódico em um local ao qual o usuário não tem acesso pode ser uma solução.