☰

도메인 관리자가 파일을 보는 것을 허용하지 않는 보안 그룹

tag-icon • tag-icon windows-server-2008 security permissions network-share
도메인 관리자가 파일을 보는 것을 허용하지 않는 보안 그룹

이것은 매우 간단합니다. 내 문서 폴더가 //dc/documents라는 공유로 리디렉션되었습니다. 각 사람에 대해 이 공유 아래에 폴더를 만든 다음 그 아래에 내 문서에 대한 폴더를 만듭니다. 이 //dc/documents 공유에 대한 보안 권한은 다음과 같습니다.

  • 공유 권한:
    • 모든 사람 - 모든 권한

  • NTFS 권한:
    • 모든 사람(이 폴더만) - 폴더 목록/데이터 읽기, 속성 읽기, 확장 속성 읽기, 권한 읽기
    • CREATOR OWNER(하위 폴더 및 파일만) - 모든 권한
    • SYSTEM(이 폴더, 하위 폴더 및 파일) - 모든 권한
    • 관리자(이 폴더, 하위 폴더 및 파일) - 모든 권한
    • 도메인 관리자(이 폴더, 하위 폴더 및 파일) - 모든 권한

PDC에 내장된 관리자 계정에 로그인할 때 문제가 발생합니다. 해당 계정은 도메인 관리자 및 관리자 그룹의 일부이지만 하위 폴더 및 파일을 볼 수 있는 권한이 없습니다. 이 폴더 내에서 내가 원하는 작업을 수행하는 것을 방해하는 상속된 권한이 표시되지 않습니다. 폴더를 열 때 눌러야 하는 마법의 버튼이 있나요? 이것이 점점 더 실망스러워지고 있습니다.

답변1

폴더 리디렉션 설정의 "설정" 탭에 "사용자에게 독점 권한 부여..." 상자가 선택되어 있습니다. 이 기능을 끄면 폴더 리디렉션 클라이언트 측 확장(CSE)이 생성된 폴더에 대한 권한에 "관리자"를 추가합니다.

개인적으로는 폴더 리디렉션 CSE가 생성한 하위 폴더에 대한 상속을 비활성화하기 때문에 사용자를 위한 하위 폴더를 미리 생성합니다(저는 이를 Bad Thing TM 이라고 생각합니다 ). 폴더를 미리 만들고 하위 폴더에 "사용자/모든 권한"을 추가하면 폴더 리디렉션 CSE가 만족하고 폴더의 상속 계층 구조를 그대로 유지합니다.

이미 가지고 있는 폴더를 "복구"하려면 icacls스크립트의 유틸리티와 같은 기능을 사용하여 권한을 정리할 수 있습니다. 하위 폴더의 이름이 모두 사용자의 samAccountNames로 지정되었다고 가정하면 다음과 같은 작업을 수행할 수 있습니다.

FOR /D %%d in (E:\Home Directories\*) DO (
  TAKEOWN /f "E:\Home Directories\%%d" /r /d y 
  ICACLS "E:\Home Directories\%%d" /reset /T 
  ICACLS "E:\Home Directories\%%d" /grant:r "MYDOMAIN\%userDir%":(OI)(CI)F 
  ICACLS "E:\Home Directories\%%d" /setowner "MYDOMAIN\%userDir%" /T 
)

그러면 각 하위 폴더에서 "모든 권한" 권한으로 사용자가 지정된 멋지고 깔끔한 상속 계층 구조가 다시 제공됩니다.

답변2

GPO를 통해 폴더 리디렉션을 구성할 때 사용자에게 리디렉션된 폴더에 대한 독점 액세스 권한을 부여하는 옵션이 있습니다. 이 옵션은 기본적으로 켜져 있으며 부모 수준에서 권한을 부여하려고 시도했지만 이 GPO 설정으로 인해 문제가 발생한 것으로 의심됩니다. 상위 수준에서 적절한 권한을 설정한 것처럼 보이더라도 GPO 설정으로 인해 리디렉션된 폴더가 생성되므로 Windows에서는 해당 권한을 제거합니다.

GPO 설정을 변경하면 생성된 모든 새 폴더에 적용되지만 기존 폴더에는 적용되지 않습니다. 이 문제를 해결하는 가장 쉬운 방법은 GPO 옵션을 선택 취소하고, 데이터를 백업하고, 기존 폴더를 삭제하고, Windows에서 폴더를 다시 만들고, 데이터를 복원하는 것입니다.

답변3

UAC에 문제가 있는 것이 확실합니까?

UAC는 사용자를 보호하는 방법으로 관리자 그룹의 사용을 필터링합니다.

http://technet.microsoft.com/en-us/library/cc709691(WS.10).aspx

관련 정보