☰

Los grupos de seguridad no permiten que el administrador del dominio vea archivos

tag-icon • tag-icon windows-server-2008 security permissions network-share
Los grupos de seguridad no permiten que el administrador del dominio vea archivos

Esto debería ser muy sencillo. Tengo mis carpetas de Documentos redirigidas a un recurso compartido llamado //dc/documents. Crea una carpeta en este recurso compartido para cada persona y luego crea una carpeta debajo de Mis documentos. Los permisos de seguridad en este recurso compartido //dc/documents son los siguientes:

  • Compartir permisos:
    • Todos - Control total

  • Permisos NTFS:
    • Todos (solo esta carpeta): lista de carpetas/lectura de datos, lectura de atributos, lectura de atributos extendidos, lectura de permisos
    • CREADOR PROPIETARIO (solo subcarpetas y archivos) - Control total
    • SISTEMA (Esta carpeta, subcarpetas y archivos) - Control total
    • Administradores (Esta carpeta, subcarpetas y archivos) - Control total
    • Administradores de dominio (esta carpeta, subcarpetas y archivos): control total

Mi problema surge cuando inicio sesión en la cuenta de administrador integrada en el PDC. Aunque esa cuenta forma parte de los grupos Administradores y Administradores del dominio, no tengo permiso para ver las subcarpetas y los archivos. No veo ningún permiso heredado que me impida hacer lo que quiera dentro de estas carpetas. ¿Hay algún botón mágico que debo presionar al abrir las carpetas? Esto es cada vez más frustrante.

Respuesta1

Tiene marcada la casilla "Otorgar al usuario derechos exclusivos..." en la pestaña "Configuración" de la configuración de redirección de carpetas. Desactívelo y la extensión del lado del cliente de Redirección de carpetas (CSE) agregará "Administradores" a los permisos de las carpetas que cree.

Personalmente, creo previamente las subcarpetas para los usuarios porque el CSE de redirección de carpetas deshabilita la herencia en las subcarpetas que crea (lo cual considero algo malo ) . Si crea previamente las carpetas y agrega "El usuario/control total" a la subcarpeta, el CSE de redirección de carpetas estará satisfecho y dejará intacta la jerarquía de herencia en sus carpetas.

Si desea "reparar" las carpetas que ya tiene, puede usar algo como la icaclsutilidad en un script para limpiar los permisos. Suponiendo que todas las subcarpetas tienen el nombre de samAccountNames de los usuarios, podría hacer algo como lo siguiente:

FOR /D %%d in (E:\Home Directories\*) DO (
  TAKEOWN /f "E:\Home Directories\%%d" /r /d y 
  ICACLS "E:\Home Directories\%%d" /reset /T 
  ICACLS "E:\Home Directories\%%d" /grant:r "MYDOMAIN\%userDir%":(OI)(CI)F 
  ICACLS "E:\Home Directories\%%d" /setowner "MYDOMAIN\%userDir%" /T 
)

Eso le brindará nuevamente una jerarquía de herencia limpia y agradable con el usuario especificado con el permiso de "Control total" en cada subcarpeta.

Respuesta2

Al configurar la redirección de carpetas a través de GPO, existe una opción para otorgar al usuario acceso exclusivo a las carpetas redirigidas. Esta opción está activada de forma predeterminada y sospecho que, aunque haya intentado otorgar permisos en el nivel principal, esta configuración de GPO está causando el problema. Aunque parece que ha establecido los permisos adecuados en el nivel principal, Windows está eliminando esos permisos a medida que se crean las carpetas redirigidas debido a la configuración de GPO.

Si cambia la configuración de GPO, tendrá efecto para todas las carpetas nuevas creadas, pero no para las existentes. La forma más sencilla de solucionar esto podría ser desmarcar la opción GPO, hacer una copia de seguridad de los datos, eliminar las carpetas existentes, dejar que Windows vuelva a crear las carpetas y restaurar los datos.

Respuesta3

¿Estás seguro de que simplemente estás teniendo problemas con la UAC?

La UAC filtra su uso del grupo de administradores como una forma de protegerlo.

http://technet.microsoft.com/en-us/library/cc709691(WS.10).aspx

información relacionada