Por que não consigo navegar na minha unidade D:, mesmo se eu estiver no grupo Administradores?

Question

Meu servidor de arquivos executando o Windows Server 2008 possui duas unidades lógicas; a unidade C: contém todos os dados do sistema e do aplicativo, e a unidade D: contém todos os dados da empresa. Existem vários compartilhamentos no nível superior da unidade D: que estão funcionando bem. No entanto ...

Quando estiver conectado ao servidor de arquivos interativamente via Área de Trabalho Remota, somente as contas Administrador de Domínio e Administrador local poderão navegar na unidade D :. Eu configurei uma conta chamada "Manutenção" e adicionei-a ao grupo Administradores local, mas quando conectado com esse usuário, não consigo navegar na unidade D :. A unidade D: tem as seguintes permissões ACL:

Full Access - SYSTEM
Full Access - MACHINE\Administrators

Ele nem me deixa ver a ACL para a unidade E :. Então, tentei apropriar-me da unidade E:, depois, posso ler a ACL e "Permissões efetivas" diz que tenho acesso total. Mas ainda recebo esta mensagem de erro.

Location is not available
D:\ is not accessible.
Access is denied.

    

Answer 1

Soa como o UAC para mim e o acesso à unidade requer elevação - o que acontece se você executar um shell cmd como administrador (enquanto estiver executando como sua conta de manutenção)? Você consegue ver o conteúdo da unidade? Administrador local e administradores de domínio são automaticamente elevados quando necessário, em 2008, por padrão, eu não acho que meros membros da conta de administradores são.

Editado para adicionar:

Você pode modificar esse comportamento por meio da Política de Grupo. Lembre-se de que o padrão é definido dessa maneira intencionalmente - a política específica que você deseja alterar é "Controle de Conta de Usuário: Executar todos os administradores no Modo de Aprovação de Administrador". sobre como fazer isso em este artigo do MSDN .

    

Answer 2

link

Alterações nos tokens Quando um usuário que é membro do grupo Administradores no Windows® XP ou no Windows Server 2003 faz logon em um computador, o token desse usuário contém o SID do grupo Administradores e o usuário tem a mesma permissão do grupo Administradores. No Windows Server 2008 e no Windows Vista, se o UAC estiver habilitado, o SID dos Administradores ainda estará presente no token, mas será definido como Negar apenas. Ao executar o controle de acesso, essa entrada no token é usada apenas para negar acesso - em outras palavras, para corresponder a Negar ACEs. Quaisquer ACEs Permitidas para esse SID são ignoradas. Isso significa que você não é realmente um administrador o tempo todo, mesmo que faça logon no computador como um só.