como extrair todas as permissões que um usuário de domínio tem na rede

Question

Gostaria de saber todas as permissões que um usuário do domínio do Windows tem na minha rede. Existe uma maneira, com um arquivo de script ou uma ferramenta, que pode extrair esse tipo de informação, verificando todos os servidores e computadores na minha rede ? Estou em uma rede da Microsoft com o Windows Server 2008 R2, o Windows XP, o Windows 7.

O relatório deve incluir esse tipo de informação:

• denunciar todas as permissões que o usuário do domínio possui (ler, escrever, etc ...)
• se o usuário do domínio estiver em um grupo de domínio, diga-me as permissões que esse grupo tem na minha rede

para que o relatório seja algo assim:

Permissões para USER_A em DOMAIN.COM

• o usuário faz parte desses grupos de domínio:
  • GROUP_A
  • GROUP_B
• SERVER_A
  • W: \ wwwRoot (R / W herdado do GROUP_A)
  • W: \ sharedFolder (R)
• SERVER_B
  • c: \ projetos (R / W)
  • c: \ projetos \ projeto_a (R / W)
  • c: \ projetos \ projeto_b (R / W)
  • c: \ dumpfolder (R / W herdado de GROUP_B)
• COMPUTADOR_A
  • LOCAL \ Administrador
  • c: \ (R / W)

Answer 1

Eu sugiro que você veja as ferramentas da Sysinternals (agora parte da Microsoft) em particular AccessChk e AccessEnum . Eu não os usei, mas eles soam apropriados às suas necessidades.

    

Answer 2

Além do óbvio - de que isso é insanamente caro em um domínio de 1000 + -servidores - você precisaria criar um script para algo que recupere todas as máquinas do AD e, em seguida, faça uma iteração com uma conta de administrador que tenha os direitos para exibir todas as permissões de todos objetos do sistema de arquivos.

É insano.

    

Answer 3

Eu acredito que não há ferramentas gratuitas para isso ... uma ferramenta comercial que conheço é o Access Manager da Quest. link

isto é o que eles reivindicam

Data Intelligence - analise quem está acessando e usando dados e com que frequência ajudar a determinar as políticas de retenção de dados para arquivamento e exclusão de dados não utilizados.

Access Insight - Produza relatórios inteligentes para os proprietários de empresas para mostrar claramente quem está controlando e acessando os dados, quem é o proprietário ou sugerir possíveis proprietários para ajudar a iniciar um processo de atestado de conformidade. / p>

Controle de dados - Acesso seguro a dados, arquivos e compartilhamentos para que informações confidenciais sejam acessadas apenas por pessoas com necessidades comerciais.

Responsabilidade de conformidade - Atribuir a propriedade de todos os dados aos proprietários de empresas apropriados para fins de prestação de contas e relatórios de conformidade.

Acesse a Atividade - Identifique e monitore os principais dados para rastrear todo o acesso, incluindo detalhes como quem acessou os dados e quando, e reter os detalhes no formulário de registro.

    

Answer 4

Como o @adaptr diz que isso pode ser muito caro, se não impossível. A menos que ... Você tenha que fazer um compromisso organizacional para NUNCA colocar um UserID diretamente em uma ACL. Use grupos para tudo. Se você fizer isso, simplesmente faça uma lista dos grupos dos quais uma pessoa é membro e a que esses grupos concedem acesso.

Em nosso ambiente, temos três grupos para cada compartilhamento Share_Read, Share_Write e Share_Admin. Nunca adicionamos uma conta individual a um compartilhamento, EXCETO o compartilhamento de sua Página inicial.

    

Answer 5

Permission Analyzer ajudaria, mas é um produto comercial.

Não existe uma ferramenta mágica que analise tudo. Porque a digitalização de todos os recursos de TI pode ir muito além do compartilhamento de arquivos:

• SharePoint Access
• Acesso ao Exchange
• SQL Access
• E todos os outros, incluindo os produtos não da MS ...

A melhor prática é evitar o acesso direto com base na conta do usuário (como dito por outros) e gerenciar a solicitação como tickets (por meio de uma ferramenta de emissão de tickets) para que você possa rastrear a solicitação de mergulhar na matriz real do sistema.