Por que o acesso foi negado para o usuário dentro do grupo permitido?

Question

Primeiro, deixe-me começar dizendo que não sou especialista em TI, e recentemente tenho experimentado muito com compartilhamento e permissões no Windows 8.1. Cheguei a um ponto de extrema confusão agora e não consigo encontrar nada on-line.

Como não estou executando uma edição profissional do Windows 8.1, tive que usar o comando net LOCALGROUP no prompt de comando para adicionar usuários aos grupos, etc.

Eu basicamente fiz um LOCALGROUP chamado HomeSecure , e adicionei dois usuários ( AdminOne e AdminTwo ) a ele . Esses dois usuários também estão no grupo Administradores e são, na verdade, contas de administrador no Windows. Parece inútil, mas é porque estou tentando simular manualmente a funcionalidade do Grupo Doméstico e planejo adicionar contas que não sejam de administrador de outras estações de trabalho usando o comando GROUP , quando tiver o básico.

Eu verifiquei e os comandos funcionaram bem. As contas de administrador estão nesse grupo. A confusão ocorre quando removo absolutamente todas as permissões de usuário e grupo (incluindo Todos ) das minhas pastas C: \ Users \ AdminOne e C: \ Users \ AdminTwo, exceto Administradores e SYSTEM , então continue a adicionar permissão para o grupo HomeSecure ...

Todos os grupos para os quais dei Controle total das pastas. Fui para as configurações avançadas e me certifiquei de que tudo foi verificado, e até fiz o grupo HomeSecure apropriar-se das pastas. Também vale a pena mencionar que fiz todos os objetos filhos herdarem os proprietários e as permissões dessas pastas.

Mas mesmo depois de tudo isso, ainda não consigo acessar as pastas acima da rede usando membros HomeSecure . Eu também não posso acessá-los diretamente de C: \ sem que me solicite o consentimento administrativo.

Acessando pela rede, recebo: Você não tem permissão para acessar ----- Entre em contato com o administrador da rede para solicitar acesso.

Acessando via C: \, eu recebo: Você atualmente não tem permissão para acessar esta pasta. Clique em continuar para obter permanentemente acesso a esta pasta.

Se eu pressionar continuar, tudo o que o Windows faz é adicionar permissões de permissão para o usuário atual ( AdminOne ou AdminTwo ) que parece redundante porque elas já eram permitidas? Eles já eram permitidos através das permissões HomeSecure ?

Por quê? Não deve o AdminOne e o AdminTwo ter acesso a ambas as pastas normalmente, uma vez que estão no grupo HomeSecure ?

    

Answer 1

Há alguns que você provavelmente está encontrando aqui:

Atualização de token

As associações de grupo são armazenadas no token do usuário, cópias das quais são anexadas a cada processo em execução como esse usuário. Execute whoami /all em um prompt de comando para ver quais grupos aparecem em seu token. Aquele anexado ao processo whoami será aquele herdado de cmd , que é herdado de explorer . Se a associação ao grupo não aparecer, você precisará fazer logoff e voltar a usá-la. Em seguida, o Windows reconhecerá que você é realmente um membro de um grupo apropriado e permitirá que você faça coisas que o grupo pode fazer.

Permissões de compartilhamento

Ao compartilhar arquivos através de compartilhamentos do Windows, há duas listas de controle de acesso que o usuário deve passar. A primeira é a ACL no próprio compartilhamento (não na pasta). Você pode acessar essa ACL clicando no botão Permissões nas configurações avançadas de compartilhamento da pasta compartilhada. A ACL do sistema de arquivos normal é então verificada. Se a ACL tiver uma entrada de negação para o usuário ou um de seus grupos, a operação será negada. Se a ACL não tiver entrada relevante para o usuário ou seus grupos, a operação será negada.

UAC

Observe que a participação em grupos padrão poderosos, como Administradores, é ignorada para compartilhamentos de rede que não fazem parte de domínios, a menos que você desative o UAC. Além disso, se o Explorer não estiver sendo executado, ele solicitará credenciais de administrador se você tentar navegar para uma pasta na qual somente os Administradores possam entrar.