☰

Grupos de segurança não permitem que o administrador do domínio visualize arquivos

tag-icon • tag-icon windows-server-2008 security permissions network-share
Grupos de segurança não permitem que o administrador do domínio visualize arquivos

Isto deve ser muito simples. Minhas pastas Documentos foram redirecionadas para um compartilhamento chamado //dc/documents. Ele cria uma pasta neste compartilhamento para cada pessoa e, em seguida, cria uma pasta para Meus Documentos. As permissões de segurança neste compartilhamento //dc/documents são as seguintes:

  • Permissões de compartilhamento:
    • Todos - Controle total

  • Permissões NTFS:
    • Todos (somente esta pasta) - Listar pasta/ler dados, ler atributos, ler atributos estendidos, ler permissões
    • PROPRIETÁRIO CRIADOR (somente subpastas e arquivos) - Controle total
    • SYSTEM (Esta pasta, subpastas e arquivos) - Controle total
    • Administradores (esta pasta, subpastas e arquivos) - Controle total
    • Administradores de domínio (esta pasta, subpastas e arquivos) - Controle total

Meu problema surge quando entro na conta de administrador integrada no PDC. Embora essa conta faça parte dos grupos Administradores e Administradores de Domínio, não tenho permissão para visualizar as subpastas e arquivos. Não vejo nenhuma permissão herdada que me impeça de fazer o que desejo dentro dessas pastas. Existe algum botão mágico que devo apertar ao abrir as pastas? Isso está se tornando cada vez mais frustrante.

Responder1

Você tem a caixa "Conceder direitos exclusivos ao usuário..." marcada na guia "Configurações" das configurações de redirecionamento de pasta. Desligue isso e a extensão do lado do cliente de redirecionamento de pasta (CSE) adicionará “Administradores” às permissões nas pastas que ela cria.

Pessoalmente, eu pré-crio as subpastas para os usuários porque o CSE de redirecionamento de pasta desativa a herança nas subpastas que ele cria (o que considero uma coisa ruim TM ). Se você pré-criar as pastas e adicionar "O Usuário/Controle Total" à subpasta, o CSE de Redirecionamento de Pastas ficará satisfeito e deixará intacta a hierarquia de herança em suas pastas.

Se você deseja "reparar" as pastas que já possui, pode usar algo como o icaclsutilitário em um script para limpar as permissões. Supondo que todas as subpastas tenham nomes de samAccountNames dos usuários, você poderia fazer algo como o seguinte:

FOR /D %%d in (E:\Home Directories\*) DO (
  TAKEOWN /f "E:\Home Directories\%%d" /r /d y 
  ICACLS "E:\Home Directories\%%d" /reset /T 
  ICACLS "E:\Home Directories\%%d" /grant:r "MYDOMAIN\%userDir%":(OI)(CI)F 
  ICACLS "E:\Home Directories\%%d" /setowner "MYDOMAIN\%userDir%" /T 
)

Isso lhe dará uma hierarquia de herança limpa e agradável novamente com o usuário especificado com permissão "Controle total" em cada subpasta.

Responder2

Ao configurar o redirecionamento de pastas via GPO existe a opção de conceder ao usuário acesso exclusivo às pastas redirecionadas. Essa opção está ativada por padrão e suspeito que, mesmo que você tenha tentado conceder permissões no nível pai, essa configuração de GPO está causando o problema. Mesmo que pareça que você definiu as permissões adequadas no nível pai, o Windows está removendo essas permissões à medida que as pastas redirecionadas estão sendo criadas devido à configuração do GPO.

Se você alterar a configuração do GPO, isso terá efeito em todas as novas pastas criadas, mas não nas pastas existentes. A maneira mais fácil de contornar isso seria desmarcar a opção GPO, fazer backup dos dados, excluir as pastas existentes, deixar o Windows recriar as pastas e restaurar os dados.

Responder3

Tem certeza de que está apenas tendo problemas com o UAC?

O UAC filtra o uso do grupo de administradores como forma de protegê-lo.

http://technet.microsoft.com/en-us/library/cc709691(WS.10).aspx

informação relacionada