Práticas comuns de permissão de arquivo do Windows

Question

Tanto quanto eu entendi e foi respondido em este tópico , que os administradores ainda precisam de uma ACL para administrar arquivos, mesmo que tenham a mais alta autoridade. No meu sistema O grupo de administradores é definido no nível da unidade com a opção Controle total e Aplicar a todas as subpastas e arquivos. Agora eu tenho uma pasta de aplicativo que contém dados confidenciais. Não quero que os administradores tenham acesso a essa pasta devido a preocupações com a privacidade. É uma prática comum excluir administradores de tal pasta? Se sim, como isso afetará as tarefas diárias dos administradores? Eu tenho uma resposta sobre o gerenciamento de permissões no link acima, mas e sobre outras tarefas como backup / restauração, por exemplo? Obrigado.

    

Answer 1

Se os administradores não tiverem uma ACL dando permissão, eles não poderão acessar o arquivo. Mas os administradores podem apropriar-se de arquivos, podendo assim definir suas permissões.

Se você realmente quiser impedir o acesso não autorizado, use criptografia. Observação O Windows EFS com chaves emitidas por uma autoridade de certificação da Microsoft também pode ser acessado pelos administradores da autoridade de certificação, etc., talvez você esteja procurando pelo Truecrypt ou pelo Bitlocker (não sei como isso funciona em um "ambiente corporativo") ou GPG. / p>     

Answer 2

Normalmente, você deve confiar em seus administradores de sistema e em qualquer outro grupo de administradores local do servidor. Eu nunca fiz isso em meus ambientes (15 serviços em cluster, ~ 80TB de espaço em disco, ~ 4000 compartilhamentos), mas isso não significa que você não possa fazê-lo. Se houver apenas determinadas pessoas com as quais você está preocupado em ter acesso, crie um grupo (local ou de domínio) que contenha essas pessoas e adicione uma entrada à ACL para essa pasta que NEGA o acesso delas explicitamente.

Quanto a backups e outros, desde que a conta que você está usando para backups esteja no grupo Backup Operators , você deve estar bem. É concedido permissões especiais para poder fazer certas coisas (backup, restauração e desligamento do sistema), independentemente de suas permissões individuais em uma determinada pasta.

    

Answer 3

Tudo depende de onde a pasta está localizada. É uma pasta local?

Em relação ao backup, acho que depende da tecnologia que está sendo usada.

E lembre-se, se eles são Administratros, eles podem reverter as configurações de segurança. Não se preocupe com as pessoas que também têm acesso ao backup?