Compartilhamento de arquivos do Windows usando grupos do Active Directory

Question

Eu tenho um controlador de domínio para nossa pequena rede (~ 20 usuários). Está executando o Win Server 2k3.

Eu adicionei um grupo de segurança global ( MYDOMAIN\GroupA ) e adicionei três usuários a ele ( MYDOMAIN\UserA , MYDOMAIN\UserB , MYDOMAIN\UserC ).

Eu tenho um computador separado executando o Windows Server 2k3 que é chamado de servidor de arquivos (você adivinhou, ele só tem compartilhamentos de arquivos). Está associado ao domínio.

Eu tenho um compartilhamento:

D:\Docs\ShareOne

Configurei-o para ser compartilhado com permissões de compartilhamento: "Todos / Controle total"

Em seguida, as permissões NTFS só permitem que MYDOMAIN\GroupA tenha controle total sobre ele.

No entanto, estou com problemas muito estranhos.

Eu tenho 3 estações de trabalho (2 XP e um Vista) que estão associadas ao domínio e UserA, UserB e UserC estão todos logados no MYDOMAIN.

UserA que está executando o XP pode executar \fileserver\ShareOne e acessar os arquivos bem.

UserB (no XP) e UserC (no Vista), entretanto, digite \fileserver\ShareOne no Explorer, aperte enter e será saudado com um erro amigável "Access Denied".

Eu até fiz UserB (whos no XP) reiniciar a máquina inteira, relogar e eles ainda não podem acessar o compartilhamento.

Por que isso estaria acontecendo? Algo muito estranho está acontecendo.

    

Answer 1

Recomendo enfaticamente ativar a auditoria de falhas de "Logon" na política de segurança local de FILESERVER (Iniciar / Executar / GPEDIT.MSC - Navegue até "Configuração do Computador", "Configurações do Windows", "Configurações de Segurança", " Políticas locais "," e "Política de Auditoria"), execute "GPUPDATE" e assista ao log de eventos "Segurança" após uma falha ao ver o que aparece. (Estou assumindo que, ao direcioná-lo para a política de segurança local, que você não tem uma política de domínio sobreposta.)

Você pode verificar se outras combinações de computadores clientes e usuários apresentam ou não o problema (por exemplo, "UserA" no computador normalmente usado por "UserB", etc)?

Isso tem a sensação de um problema re: assinatura SMB ou nível NTLM, mas eu acho que todos os seus sistemas operacionais estão configurados para suas confgurações de estoque e devem funcionar bem. Apenas por diversão, execute o Conjunto de Diretivas Resultante em um computador cliente que esteja funcionando ou não e compare as configurações em "Configurações do Computador", "Configurações do Windows", "Configurações de Segurança", "Opções de Segurança" relacionadas a "Membro do Domínio: .. "e" cliente de rede da Microsoft: ... ".)

Mais uma coisa tola: o nome FILESERVER está resolvendo o mesmo endereço IP em todos os clientes?

    

Answer 2

Já experimentou as duas contas de usuário negadas no computador do que o usuário que está trabalhando corretamente? Isso pode pelo menos funcionar como um processo de eliminação. Se eles podem acessá-lo bem através desse computador, então, talvez, suspeitar da configuração do computador ou relação de domínio / computador. Talvez separar eles e juntá-los ao domínio. Mas primeiro verifique se as contas de usuário podem acessar os compartilhamentos naquele outro computador. Ou você poderia criar outro compartilhamento com todos que tivessem acesso a ele e ver se essas contas de usuário podem acessá-lo. Isso pode lhe dar um pouco mais de conhecimento sobre o assunto.

    

Answer 3

Pergunta simples, mas são UserB e UserC em um grupo que tem uma entrada "deny" na ACL? Você pode querer verificar as permissões Avançadas aqui também, pois às vezes as entradas não aparecem na lista padrão.

Se não é isso, geralmente o que eu faço nesses cenários é tentar reduzi-lo a um problema de usuário ou máquina, então eu faria o UserB fazer logon na máquina do UserA (e vice-versa) e ver o que acontece . O mesmo com UserA e UserC. Com base nas informações desse exercício, você deve saber se deve procurar as contas de usuário ou algo sobre ou com os PCs para solucionar o problema.

Se você determinar que são os usuários, a próxima etapa lógica seria criar contas de usuário de teste copiando as contas ao vivo e, em seguida, tentando reproduzir o problema sozinho.

    

Answer 4

Aqui está um tiro no escuro. As máquinas do seu cliente podem procurar o servidor na rede e realmente ver o compartilhamento? Eu já vi comportamento semelhante no passado relacionado a problemas de navegação. As permissões foram encontradas, mas as máquinas não conseguiram localizar o servidor e, às vezes, as mensagens de erro do Windows podem ser enganosas.

    

Answer 5

Verifique as permissões no volume (unidade) onde o compartilhamento está. Cada usuário precisa ter o direito de usuário "Bypass Traverse Checking" para acessar a pasta compartilhada e seu conteúdo, independentemente das permissões no próprio compartilhamento. Certifique-se de que os usuários tenham a permissão "Atravessar pasta \ Executar arquivo no nível do volume (unidade).