Por que as permissões para o grupo Administradores serão herdadas da raiz da unidade, quando ela foi explicitamente removida da lista de permissões da raiz da unidade? (Windows Server 2003)

Question

Eu removi o grupo Administradores da guia de segurança da raiz da unidade "C: \" em um sistema Windows Server 2003, para evitar a concessão do Controle total a todos os administradores.

Agora, quando eu criar um arquivo na raiz da unidade (ou subpastas configuradas para herdar permissões), a segurança dos arquivos listará o grupo Administradores, com permissão Controle Total, alegando ser herdados da raiz da unidade "C: \ ".

Como os arquivos podem herdar as permissões do grupo Administradores que eu removi da raiz da unidade?

    

Answer 1

Se você é um membro do grupo Administradores, então é um recurso do Windows que define o proprietário como o grupo Administradores e não a sua conta de usuário.

Eu acho que você está vendo Administradores nas permissões porque você tem CREATOR / OWNER na ACL raiz. Nesse caso, o CRIADOR / PROPRIETÁRIO é Administradores (devido ao comportamento acima), portanto, os Administradores aparecem na ACL.

Não sou muito fã de incluir o CREATOR / OWNER nas ACLs precisamente porque você pode ter esse tipo de comportamento estranho. Eu sempre defino as permissões de root somente para Administradores e SYSTEM, com o controle Full, e então adiciono permissões extras aos subdiretórios somente quando necessário.

JR

    

Answer 2

Isso pode estar relacionado ao fato de o grupo Administradores ser o proprietário da pasta e os arquivos que estão sendo criados com permissão para o proprietário acessar.

    

Answer 3

Às vezes, eles podem ser lembrados, especialmente se algo tiver alguma importância. Na guia de segurança, vá para avançado e selecione a opção para substituir entradas de permissão, que deve forçá-lo para baixo.

    

Answer 4

Por que você quer fazer isso? Parece que você deu a um grupo de usuários contas de administrador e agora não quer que eles instalem software ... apenas um palpite.

    

Answer 5

Há também um grupo que tem permissões ESPECIAIS na raiz de C. Usuários Autenticados ou Todos, dependendo do SO em que você está.

Você realmente precisaria postar a saída desse comando aqui para termos certeza do que está acontecendo:

icacls c:

ou

cacls c:

A saída ajudaria a determinar o problema.

    

Answer 6

• Eu sou o proprietário da pasta raiz e não dos administradores.
• A caixa não faz parte de um domínio.
• Estou fazendo isso para bloquear o acesso à raiz da unidade, principalmente para evitar que outros administradores a sobrecarreguem com pastas, já que é muito fácil navegar para:)

A questão é por que as permissões de administrador (controle total) são herdadas da raiz quando não estão presentes?

EDITAR: Apesar de eu ser o proprietário da pasta raiz, quando eu crio um novo arquivo, seu proprietário é definido como Administradores, o que parece ser por Administradores está aparecendo no arquivo. Se eu, então, me definir como proprietário, e redefinir as permissões, desmarcando / conferindo novamente a caixa de permissões herdadas, o grupo Administradores desaparece.

EDITAR: Eu concordo com renniej; parece ser um recurso do Windows; Não consigo imaginar nenhum outro motivo pelo qual os Administradores sejam os proprietários de tudo que eu criei, mesmo na minha própria pasta da área de trabalho. É uma característica chata, mas como mystikphish disse, tem uma razão decente para estar lá.

No entanto, se os administradores que possuem o arquivo forem a causa, por que a permissão ainda afirma ser herdada da raiz da unidade e por que, depois de alterar o proprietário para mim, os administradores ainda estão listados e ainda afirmam ser herdados da unidade raiz? Só desaparece depois de eu me definir como proprietário E redefinir as permissões desmarcando / verificando as permissões herdadas no arquivo.

EDIT: @ Comentário do HipCzeck. Sim, eu sei disso, mas somos um grupo pequeno e é improvável que eles mexam com as permissões. Eu só quero fazer um esforço para colocar arquivos na raiz, e deixei um arquivo de texto lá com uma nota para parar de fazê-lo :) Não é realmente uma preocupação de segurança, é mais uma luta de poder, lol. Estou apenas tentando manter as coisas organizadas aqui.

EDIT: @ resposta do TheCleaner. A saída de "icacls c:" é: (substituí minha conta de usuário por "MyAccount")

MyAccount:(F)
NT AUTHORITY\SYSTEM:(F)
BUILTIN\Administrators:(F)
MyAccount:(OI)(CI)(IO)(F)
NT AUTHORITY\SYSTEM:(OI)(CI)(IO)(F)
BUILTIN\Administrators:(OI)(CI)(IO)(F)

Na guia de segurança do arquivo, ele mostra apenas:

CREATOR OWNER
Everyone
MyAccount
SYSTEM
Users