É prática padrão fazer o perfil de um usuário Documents and Settings e Local Setting Read Only e Hidden?

Question

É prática comum tornar o perfil de um usuário Documents and Settings e Local Setting "Somente leitura" e "Oculto", por exemplo, de uma perspectiva de Administração de sistemas? Na minha experiência, isso é raro, mas eu trabalho com um conjunto muito específico de usuários / ambientes. Qualquer insight apreciado.

Eu vi essa VEZ em minha vida, e o usuário não sabe ao certo por que o administrador do sistema fez isso (ironicamente, ele não é mais o administrador do sistema). Qual é o objetivo de tornar o appdata completamente somente leitura? Isso significaria qualquer programa que faça o perfil de dados por usuário em appdata (LOTES de software funciona assim), o software não seria capaz de usá-lo (potencialmente, quebrá-lo completamente).

Seria seguro dizer que tornar diretórios de perfil de usuário somente leitura é um erro completo?

    

Answer 1

Não é realmente não. Escondendo realmente não iria ajudá-lo a menos que você também mudou para um caminho não-padrão (que é um PITA para fazer o caminho certo).

Mesmo que você tenha mudado para um caminho não padrão, mesmo os usuários mais bloqueados provavelmente conseguirão descobrir o caminho por meio de uma pequena investigação.

Se as ACLs de seu sistema de arquivos estiverem configuradas corretamente, não há muito que um usuário possa fazer com o conhecimento sobre a existência e a localização desse diretório.

Brincar com os atributos somente leitura / ocultos é quase um completo desperdício de tempo do ponto de vista da segurança. As ACLs do sistema de arquivos são as que devem ser usadas para segurança.

    

Answer 2

No Windows, o atributo "somente leitura" nas pastas NÃO significa "somente leitura" em qualquer sentido comum. Eu acho que todo o As pastas de shell definidas pelo Windows possuem esse atributo. Além disso, no Vista, a pasta "AppData" em cada O perfil de usuários tem o atributo "oculto" por padrão. Qual é o problema no XP é que eu não sei, mas eu não faria acho que seria diferente.

    

Answer 3

O que você está descrevendo é um comportamento normal para o Windows Vista e o Windows 7.

O que está realmente acontecendo é que a maioria das "pastas legadas" (por falta de um termo melhor) são SYMLINKed para seus novos locais, e então configuradas como Hidden e Read Only. Por exemplo, a antiga pasta C:\Documents and Settings é um SYMLINK para C:\Users agora. C:\D&S\Username\Local Settings agora aponta para ~\AppData\Local . Abaixo está uma lista completa das que estão na pasta do usuário especificamente:

Application Data [C:\Users\User\AppData\Roaming]
Cookies          [C:\Users\User\AppData\Roaming\Microsoft\Windows\Cookies]
Local Settings   [C:\Users\User\AppData\Local]
My Documents     [C:\Users\User\Documents]
NetHood          [C:\Users\User\AppData\Roaming\Microsoft\Windows\Network Shortcuts]
PrintHood        [C:\Users\User\AppData\Roaming\Microsoft\Windows\Printer Shortcuts]
Recent           [C:\Users\User\AppData\Roaming\Microsoft\Windows\Recent]
SendTo           [C:\Users\User\AppData\Roaming\Microsoft\Windows\SendTo]
Start Menu       [C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu]
Templates        [C:\Users\User\AppData\Roaming\Microsoft\Windows\Templates]

Bem, esta questão descreve como encontrar todos os links simbólicos usando a linha de comando ( DIR /a:s /s )

Embora essas pastas existam, se você tentar navegar nelas, elas mostrarão Access Denied mensagens o tempo todo. A maneira correta de navegar é ir até as pastas às quais eles estão vinculados.