Windows: Exibir permissões “all” de um usuário ou grupo específico

Question

Para um domínio do Windows, existe uma maneira de ver um determinado usuário ou grupo, onde o usuário / grupo tem permissões?

Principalmente: listar quais arquivos / pastas o usuário pode acessar em um determinado compartilhamento de rede. (Tipo de "permissões efetivas" recursivas) No entanto, outras permissões também seriam legais.

Acredito que vi essa ferramenta em ação, mas não consigo me lembrar de nada além disso - então isso pode ser uma falsa memória.

Recomendações?

    

Answer 1

Windows Sysinternals tem uma ferramenta AccessEnum que afirma:" Enquanto o modelo de segurança flexível empregado por sistemas baseados no Windows NT permite controle total sobre segurança e permissões de arquivos, o gerenciamento de permissões para que os usuários tenham acesso apropriado aos arquivos , os diretórios e as chaves do Registro podem ser difíceis.Não há nenhuma maneira interna de visualizar rapidamente os acessos do usuário a uma árvore de diretórios ou chaves.O AccessEnum fornece uma visão completa do seu sistema de arquivos e configurações de segurança do Registro em segundos, tornando-a a ferramenta ideal por ajudá-lo em falhas de segurança e bloquear permissões quando necessário. " Boa sorte!

    

Answer 2

O comando net user pode ser o que você está bloqueando. A sintaxe é a seguinte:

net user' /domain [username]

Retorno de amostra:

Microsoft Windows [Version 6.1.7601]
Copyright (c) 2009 Microsoft Corporation.  All rights reserved.

C:\Windows\system32>net user /domain joneswac
The request will be processed at a domain controller for domain MY.SCHOOL.EDU.

User name                    joneswac
Full Name                    Wesley P Jones
Comment
User's comment
Country code                 000 (System Default)
Account active               Yes
Account expires              Never

Password last set            5/6/2013 3:51:33 PM
Password expires             Never
Password changeable          5/6/2013 3:51:33 PM
Password required            Yes
User may change password     Yes

Workstations allowed         All
Logon script
User profile
Home directory               \WONDERFULSCHOOL\students\joneswac
Last logon                   6/1/2013 3:31:50 PM

Logon hours allowed          All

Local Group Memberships
Global Group memberships     *SOCIAL AND BEHAVIORAL*IT Boot Camp Admin
                             *Students             *Registered for Classe
                             *Domain Users         *90B SOC SCI TCH PLAN
The command completed successfully.


C:\Windows\system32>

    

Answer 3

veja todo o grupo de usuários de login (aninhado também):

DSQUERY USER -name %Username% | DSGET USER -memberof -expand | DSGET GROUP -sid -samid | more

ver todos os grupos de usuários (aninhados também):

DSQUERY USER -name <user name> | DSGET USER -memberof -expand | DSGET GROUP -sid -samid | more

ver todos os grupos memberof (aninhados também):

DSQUERY GROUP -name "Nected Group Set of resources 1" | DSGET GROUP -memberof -expand | DSGET GROUP -sid -samid

veja todos os grupos membros (aninhados também):

DSQUERY GROUP -name "Nected Group Set of resources 1" | DSGET GROUP -members -expand | DSGET GROUP -sid -samid

visualizar a permissão do usuário, veja também /Z /V ... /R options:

GPRESULT /USER %username%

veja o usuário atual:

dsquery *  -filter "(samAccountName=%username%)" -attr *

GUI:

PDF! : Permissões efetivas

    

Answer 4

A melhor recomendação em minha mente é DREP , um sistema muito poderoso que permite verificar e rastrear as permissões reais do sistema de arquivos. Você pode mudar seu ponto de vista para um único usuário (mesmo em vários servidores de arquivos configurados) ou para um único arquivo / pasta.