Dando aos usuários permissão para ver arquivos, mas não abri-los no Windows Server 2008 R2

Question

Eu queria saber se algum de vocês sabe como fazer uma pasta que dará aos usuários normais em um domínio de acesso para os arquivos localizados na pasta e acesso para adicionar arquivos, mas não o acesso para abrir os arquivos.

O propósito disto é que eu tenho um técnico que não tem acesso a outros arquivos de usuários (ele também não deveria), mas este técnico é responsável por mover arquivos de uma zona segura para uma zona insegura. Portanto, o objetivo é que os usuários adicionem arquivos a essa pasta, e o técnico terá acesso total a isso. Mas os usuários adicionando os arquivos na pasta, não devem ser capazes de abrir os outros arquivos de usuários.

Isso está em um Windows Server 2008 R2. Eu tentei brincar com as permissões avançadas, sem esperança. O mais próximo que eu cheguei, foi que os usuários puderam adicionar arquivos na pasta, mas eles não puderam vê-los depois, o que causará muita confusão se os arquivos estiverem na pasta ou não.

    

Answer 1

Se bem entendi, você deseja definir um diretório temporal no qual os usuários podem adicionar seus próprios arquivos, mas não abrir os arquivos de outros usuários (além do técnico que terá acesso total a essa pasta).

Nesse caso, dê uma olhada neste post de blog de Raymond Chen que explica como fazer algo muito semelhante:

Como crio um diretório onde as pessoas podem criar subdiretórios, mas não podem mexer com os criados por outros usuários?

Embora o título mencione subdiretórios, ele também se aplica a arquivos:

But let's suppose that the customer's "not overwrite existing content" really means "not overwrite existing content created by other users". In other words, we want to let users create new content, and they can do whatever they want to the content they created, but they can't mess with content created by others.

O artigo também observa que o diretório temp do sistema %windir%temp está configurado de maneira semelhante, talvez você deva dar uma olhada nas permissões dele porque acho que a configuração está bem próxima do que você quer (veja as permissões de Users e CREATOR OWNER , no seu caso você precisaria também da permissão List folder contents para Users ).

Por fim, observe que isso impede que os usuários abram / modifiquem arquivos de outros usuários, mas eles ainda podem ver todos os arquivos na pasta.

    

Answer 2

Não é possível com permissões NTFS. Listar Pasta / Ler Dados é uma permissão combinada. Se você precisar deles para vê-los depois (como sua última sentença sugere), então não é possível.

Você poderia fazer algo com cada usuário tendo sua própria pasta (não diferente de um diretório inicial) à qual a tecnologia tem direitos, mas isso se afasta do escopo de sua pergunta.

    

Answer 3

Você pode tentar o EFS (criptografia NTFS), mas precisa sempre manter os arquivos no NTFS para que ele funcione. Apenas o usuário teria acesso aos arquivos. Ou talvez você possa fazer o script do movimento que o Tech está realizando e usar uma conta de serviço que o técnico não saiba.