explicação de permissões NTFS

Question

Eu fiz a pergunta abaixo há algum tempo atrás e foi respondida, eu loguei recentemente para me referir a ela e ter visto todas as respostas terem sido removidas. Eu fiz algo errado?

"Parece que estou caindo nesse estranho ciclo de problemas de permissão. Temos um servidor de arquivos e todos têm o compartilhamento de usuário e o departamento. Tudo está funcionando bem. As permissões estão definidas como Modify para o Departamento ou o compartilhamento pessoal do usuário Não é Full Control . Os usuários têm acesso às suas pastas, mas obviamente não podem adicionar outros no nível da raiz, porque eles não têm Full Control .

O que eu não consigo entender é, digamos, o usuário A cria uma pasta dentro de seu compartilhamento pessoal chamado XYZ (todos os usuários têm suas próprias pastas compartilhadas), depois vai para permissões e simplesmente adiciona user B pesquisando o Active Directory .

Se o Usuário B precisasse acessar essa pasta, eles digitariam \SERVER\User A\ (que seria o acesso negado, pois eles não têm acesso à pasta raiz). No entanto, se o Usuário B digitasse \SERVER\User A\XYZ , receberia acesso porque o Usuário A permitia acesso a essa pasta no nível de permissões NTFS

Como faço para impedir que um usuário crie uma pasta no compartilhamento e simplesmente modifique as permissões do NTFS para adicionar outro usuário e permitir que ele obtenha acesso com o caminho absoluto?

Não faz qualquer sentido.

Domínio do Windows Server 2008 R2 e 2008 Functional Level. O compartilhamento inicial foi criado no servidor por um usuário administrador do domínio A é um administrador local de sua máquina SOMENTE O usuário B é um usuário padrão

    

Answer 1

Em seu cenário acima, "Usuário A" não pode adicionar permissão a uma pasta \SERVER\User A\XYZ , a menos que algo na ACL (Lista de Controle de Acesso) conceda permissões de "Controle Total" ao "Usuário A". Alterar permissões é parte de "Controle total" e, desde que "Usuário A" tenha permissão "Modificar", somente elas não podem definir permissões.

Ser um "Administrador" do computador cliente não dará ao "Usuário A" nenhuma permissão especial na máquina SERVER. Isso me faz pensar, no entanto, se o "Usuário A" tem mais direitos sobre a máquina "SERVER" do que você pensa que eles fazem.

Eu investigaria as "Permissões efetivas" do "Usuário A" na pasta que você descreve em seu cenário. Eu suspeito strongmente que você vai descobrir que eles têm permissão de "Controle Total".