Nach dem Artikel: http://ntfs.com/ntfs-permissions-precedence.htm
Die Rangfolge der Berechtigungen kann wie folgt zusammengefasst werden, wobei die Berechtigungen mit der höheren Rangfolge oben in der Liste aufgeführt werden:
- Explizite Ablehnung
- Explizites Zulassen
- Geerbte Verweigerung
- Geerbtes Erlauben
Ebenfalls wahr: Dateiberechtigungen überschreiben Ordnerberechtigungen, es sei denn, dem Ordner wurde die Berechtigung „Vollzugriff“ erteilt.
Ich verstehe diesen Absatz nicht:Dateiberechtigungen überschreiben Ordnerberechtigungen, es sei denn, dem Ordner wurde die Berechtigung „Vollzugriff“ erteilt.
Sprechen wir von einem Ordner, der eine Datei enthält? Bedeutet das, dass, wenn der Ordner eine Datei mit der Berechtigung „Vollzugriff zulassen“ enthält, die Datei in diesem Ordner alle Berechtigungen hat, auch wenn für die Datei Schreibzugriff verweigert wurde?
Antwort1
Es bedeutet beispielsweise:
Dem Benutzer „DOMAIN\jcitizen“ wurde nur Lesezugriff auf das Verzeichnis C:\fakepath gewährt. In diesem Ordner befindet sich eine Datei namens „document.docx“. Zu diesem Zeitpunkt kann jcitizen die Datei öffnen, um ihren Inhalt zu lesen, kann jedoch keine Änderungen speichern.
Drei Monate später erstellte der Manager von jcitizen eine weitere Datei namens „adobe.pdf“ und platzierte sie unter C:\fakepath. Der Manager entschied, dass jcitizen die Möglichkeit haben sollte, Änderungen an document.docx zu speichern und Änderungen an den Zugriffsberechtigungen vorzunehmen, und erteilte jcitizen daher ausdrücklich Vollzugriff auf C:\fakepath\document.docx.
Da explizite Berechtigungen geerbte Berechtigungen außer Kraft setzen, werden die von C:\fakepath geerbten Leseberechtigungen effektiv überflüssig, wenn jcitizen versucht, Änderungen an document.docx zu speichern (z. B. das Hinzufügen eines neuen Textabsatzes und das Erteilen von schreibgeschütztem Zugriff auf DOMAIN\jdoe). Das Dateisystem hört nun auf die expliziten Berechtigungen.
Jetzt, 6 Monate später, beschließt der Manager von jcitizen, jedem Vollzugriff auf C:\fakepath zu gewähren. Da die Vollzugriffsberechtigung die höchste Datei-/Ordnerberechtigungsstufe ist, die einem Benutzer gewährt werden kann (da er auch den Besitz einer Datei oder eines Ordners übernehmen kann), hat sie Vorrang vor allen expliziten Berechtigungen, die für darunter liegende Dateien oder Ordner festgelegt wurden.
In einem Unternehmensumfeld ist es immer ratsam,NIEMALSGeben Sie jedem Netzwerkbenutzer die Vollzugriffsberechtigung. Die einzigen Personen oder Gruppen, die jemals die Vollzugriffsberechtigung haben sollten, sind Domänenadministratoren. Als ich das Netzwerk (sowie die beiden Dateiserver, auf denen DFS läuft) für das Unternehmen, für das ich arbeite, neu aufbaute, erteilte ich nicht einmal dem Tageskonto unseres Direktors die Vollzugriffsberechtigung und entschied mich, ihm ein zweites Konto mit Domänen- und Enterprise-Administratorberechtigungen zu geben.
Ich hoffe, das klärt die Sache für Sie.