☰

安全性群組不允許網域管理員查看文件

tag-icon • tag-icon windows-server-2008 security permissions network-share
安全性群組不允許網域管理員查看文件

這應該很簡單。我將我的文件夾重定向到名為 //dc/documents 的共用。它在此共用下為每個人建立一個資料夾，然後在該共用下為「我的文件」建立一個資料夾。 //dc/documents 共享的安全權限如下：

  • 分享權限：
    • 每個人 - 完全控制

  • NTFS 權限：
    • 每個人（僅限此資料夾）- 列出資料夾/讀取資料、讀取屬性、讀取擴充屬性、讀取權限
    • 創建者擁有者（僅限子資料夾和檔案）- 完全控制
    • SYSTEM（此資料夾、子資料夾和檔案）- 完全控制
    • 管理員（此資料夾、子資料夾和檔案）- 完全控制
    • 網域管理員（此資料夾、子資料夾和檔案）- 完全控制

當我登入 PDC 上的內建管理員帳戶時，出現了問題。儘管該帳戶是網域管理員和管理員群組的一部分，但我無權查看子資料夾和檔案。我沒有看到任何繼承的權限會阻止我在這些資料夾中執行任何我想要的操作。打開資料夾時是否需要按下一些神奇的按鈕？這變得越來越令人沮喪。

答案1

您已在資料夾重新導向設定的「設定」標籤上勾選了「授予使用者獨佔權利...」方塊。關閉此功能，資料夾重新導向用戶端擴充功能 (CSE) 會將「管理員」新增至其建立的資料夾的權限。

就我個人而言，我為用戶預先創建了子資料夾，因為資料夾重定向 CSE 禁用了它創建的子資料夾的繼承（我認為這是一件壞事TM）。如果您預先建立資料夾並將「使用者/完全控制」新增至子資料夾，資料夾重新導向 CSE 將會很高興，並且會完整保留資料夾上的繼承層次結構。

如果您想「修復」已有的資料夾，您可以使用icacls腳本中的實用程式之類的工具來清理權限。假設子資料夾全部以使用者的 samAccountNames 命名，您可以執行以下操作：

FOR /D %%d in (E:\Home Directories\*) DO (
  TAKEOWN /f "E:\Home Directories\%%d" /r /d y 
  ICACLS "E:\Home Directories\%%d" /reset /T 
  ICACLS "E:\Home Directories\%%d" /grant:r "MYDOMAIN\%userDir%":(OI)(CI)F 
  ICACLS "E:\Home Directories\%%d" /setowner "MYDOMAIN\%userDir%" /T 
)

這將再次為您提供一個漂亮、乾淨的繼承層次結構，並且使用者在每個子資料夾中指定了「完全控制」權限。

答案2

透過 GPO 設定資料夾重新導向時，可以選擇授予使用者對重定向資料夾的獨佔存取權限。預設此選項處於啟用狀態，我懷疑即使您嘗試在父級授予權限，此 GPO 設定也會導致問題。儘管您似乎已在父級別設定了適當的權限，但 Windows 會刪除這些權限，因為由於 GPO 設定而建立了重定向資料夾。

如果更改 GPO 設置，它將影響所有建立的新資料夾，但不會影響現有資料夾。解決此問題的最簡單方法可能是取消選取 GPO 選項、備份資料、刪除現有資料夾、讓 Windows 重新建立資料夾並還原資料。

答案3

您確定只是 UAC 有問題嗎？

UAC 會過濾掉您對管理員群組的使用，以此作為保護您的一種方式。

http://technet.microsoft.com/en-us/library/cc709691(WS.10).aspx

相關內容