Групповое изменение прав доступа к файлам windows

Обновлено: 05.07.2024

Описывает лучшие практики, расположение, значения, управление политикой и **** соображения безопасности для настройки безопасности файлов или других объектов.

Справочники

Этот параметр политики определяет, какие пользователи могут взять на себя право собственности на любой защищаемый объект на устройстве, включая объекты Active Directory, файлы и папки NTFS, принтеры, ключи реестра, службы, процессы и потоки.

У каждого объекта есть владелец, независимо от того, находится ли объект в томе NTFS или базе данных Active Directory. Владелец контролирует, как устанавливаются разрешения на объекте и кому выданы разрешения.

По умолчанию владельцем является тот, кто или процесс, создавший объект. Владельцы всегда могут изменять разрешения на объекты, даже если им отказано во всем доступе к объекту.

Возможные значения

Определяемый пользователей список учетных записей
Не определено

Location

Computer Configuration\Windows Settings\Security Settings\Local Policies\User Rights Assignment

Значения по умолчанию

По умолчанию этот параметр — администраторы на контроллерах домена и на автономных серверах.

В следующей таблице приведены фактические и действующие значения по умолчанию для этой политики. Значения по умолчанию также можно найти на странице свойств политики.

Тип сервера или объект групповой политики	Значение по умолчанию
Default Domain Policy	Не определено
Политика контроллера домена по умолчанию	Администраторы
Параметры по умолчанию для автономного сервера	Администраторы
Действующие параметры по умолчанию для контроллера домена	Администраторы
Действующие параметры по умолчанию для рядового сервера	Администраторы
Действующие параметры по умолчанию для клиентского компьютера	Администраторы

Управление политикой

В этом разделе описаны компоненты, средства и рекомендации, которые помогут в управлении этой политикой.

Перезагрузка устройства не требуется для того, чтобы этот параметр политики был эффективным.

Изменения прав пользователя вступают в силу при его следующем входе в учетную запись.

Право собственности можно получить по:

Администратор. По умолчанию группе администраторов предоставляется право на владение файлами или другими объектами.
Любой пользователь или любая группа, у которых есть пользователь Take ownership прямо на объекте.
Пользователь, который имеет право на восстановление файлов и каталогов.

Право собственности может быть передано следующим образом:

Текущий владелец может предоставить право пользователя take ownership другому пользователю, если он является членом группы, определенной в маркере доступа текущего владельца. Чтобы завершить передачу, пользователь должен взять на себя ответственность.
Администратор может взять на себя ответственность.
Пользователь, у **** которого есть право на восстановление файлов **** и каталогов, может дважды щелкнуть другие пользователи и группы и выбрать любого пользователя или группу для назначения права собственности.

Групповая политика

Параметры применяются в следующем порядке с помощью объекта групповой политики (GPO), который перезаписывал параметры на локальном компьютере при следующем обновлении групповой политики:

Параметры локальной политики
Параметры политики сайта
Параметры политики домена
Параметры политики подразделения

Когда локальный параметр серый, он указывает, что GPO в настоящее время контролирует этот параметр.

Вопросы безопасности

В этом разделе описывается, каким образом злоумышленник может использовать компонент или его конфигурацию, как реализовать меры противодействия, а также рассматриваются возможные отрицательные последствия их реализации.

Уязвимость

Любые пользователи, которые имеют право на владение файлами или другими объектами, могут взять под свой контроль любой объект, независимо от разрешений на этот объект, а затем внести любые изменения, которые они хотят внести в этот объект. **** Такие изменения могут привести к воздействию данных, развращение данных или к отказу в обслуживании.

Противодействие

Убедитесь, что право пользователя на владение файлами или другими объектами имеет только группа локальных администраторов.

Возможное влияние

Нет. Ограничение права пользователя на владение файлами или другими объектами в локальной группе администраторов — это конфигурация по умолчанию.

После переустановки Windows 7, опять же на Windows 7 (полной, с форматированием) "Слетели" права доступа к некоторым MP3 файлам. Нельзя ни читать (слушать), ни удалять, ни изменять. Теперь для каждого файла приходится в свойствах жать "Свойства - безопасность - дополнительно - владелец - изменить - ПРОписываем ник - применить - ок - ок - ок", потом снова "Свойства - безопасность - изменить - добавить - добавляем ник - выставляем полный доступ - ok - ok" и только после этого файл становися доступным.

Сделать это для группы файлов - не получается (отказано в доступе), Total commander это под Семеркой сделать не может, а вручную обрабатывать около 300 файлов - нереально.

Как все-таки можно сделать права сразу для всего локальногго диска / папки.

Ответы

помучал файлы через Total Commander. Что именно помогло - сказать точно не могу.

PS - оставил специально папочку залоченных файлов - так сегодня и из под Семерки нормально разлочились скопом.

Все ответы

ну так и меняйте! - не только для выбранной папки (диска), а и для всех дочерних (child) объектов! соответствующие флажки есть и при назначении владельца, и при установке разрешений! в чём проблема?!

"После переустановки Windows 7, опять же на Windows 7 (полной, с форматированием). " эту фразу понять не могу. но есть ещё hint (может, и не к данному случаю) - добавьте ко всем файлам нужное разрешение для группы Authenticated Users (если файлы "разбросаны" - соберите их (с подкаталогами) в одну папку и назначьте нужные разрешения для папки И всех дочерних объектов)

сказано - "только для выбранной папки (диска), а и для всех дочерних (child) объектов! соответствующие флажки есть и при назначении владельца , и при установке разрешений!"

Вы это сделали?! и не получается изменить разрешения?! да не верю!

откройте любой файл и убедитесь, что вы его владелец - да? если "да" и нельзя поменять разрешения, то я пас. такого в жизни не видел.

Галочка "Для всех дочерних" стоит. владельцем являюсь. Доступ не дает. Решил проблему из под ХР. С семеркой пока разбираться лень Как решили? И еще вопрос - на каком диске находились эти файлы в семерке? Не на системном случайно? Все вышесказанное является моим личным мнением, не имеющим отношения к корпорации Майкрософт

помучал файлы через Total Commander. Что именно помогло - сказать точно не могу.

PS - оставил специально папочку залоченных файлов - так сегодня и из под Семерки нормально разлочились скопом.

Как вариант, либо вам их блокировал механизм индексирования, либо действительно слетели настройки наследования по какой-то причине.

Все вышесказанное является моим личным мнением, не имеющим отношения к корпорации Майкрософт

ни разу не встречался с таким, чтобы механизм индексирования мешал удалять файлы.

Я и сам недавно столкнулся с таким феноменом.
Предистория:
1.Система виста много розшариных папок корневых, но иногда бывает что нужно что-то скрыть в подпапках и я поставил ограничение на просмотр некоторых папок и файлов в них.
2.Переставил систему с Висты на 7 (полное форматирование системного диска С )
3.Я бы и не обратил внимание на это обстаятельство если бы не жена которая захотела пересмотреть фотки и не смогла это сделать, первая моя реакция так ухмилка (мол тебе далеко даже к самому простому на компе - просмотру фоток) и попробывал сам сделать это. И не смог выдавало такое прежупреждение "Средство просмотра фотографий Windows не может открыть это изображение, так как отсутствует разрешение на доступ к расположению файла"
4. Пришлось долго покопаться что бы отследить изменение в Безопасности, одни файлы открываються, а другие нет.

После всего нашел только один способ просматривать или хотябы копировать/перемещать/удалять такие файлы как только добавить в свойства безопасности еще разрешение на полный доступ, когда его добавляеш, то пишет что "владелец не определен", после нажатия применить владельцем становиться пользователь под которым открыта система.

Осталось загадкой как сделать это ко всем файлам в папке так как безопасность к ним нельзя применить, а когда все действия проделовать к папке, то выдает ошибку на каждом название файла что отказано в доступе.

Пользователь вошедший в систему и изменивший безопасность файла являеться администратором.

Помогити, а то фотографий 2000 тысячи - я проклацал только три файла и начал искать в гугле решение где и попал на Ваш форум.

У вас должна быть учетная запись с административными привилегиями, чтобы изменить владельца или разрешение и получить доступ к этим файлам. В этой статье мы объясним пошаговый процесс изменения прав доступа к файлам в Windows 10 для доступа к файлам и папкам.

Связанный: Просмотр или скрытие файлов в Windows 10.

Распространенные ошибки прав доступа к файлам

Вот несколько сценариев, в которых вы можете столкнуться с ошибкой разрешения файла в Windows 10.

Когда у вас есть общие компьютеры, и другие пользователи устанавливают разрешения для определенных файлов, к которым у вас нет доступа.
Вы хотите получить доступ к системным файлам. Мы не рекомендуем редактировать системные файлы, так как это может вызвать непредвиденные сбои.
Скопированные файлы с USB или внешнего жесткого диска защищены, и вы хотите изменить их на своем компьютере.
Вы хотите изменить файлы, скопированные из других операционных систем, таких как macOS.
Вы хотите отменить разрешение другого пользователя, чтобы запретить доступ к определенным общим файлам.

1. Вы не являетесь владельцем

1.1. Возьмите на себя ответственность за файлы или папки

Теперь вы получите право собственности на выбранный файл или папку для нового пользователя. Вы можете видеть, что владелец отображается как «Администратор», как показано ниже, поскольку мы изменили владельца с «WebNots» на другую учетную запись администратора на ПК.

Право собственности изменено

Связанный: Как заблокировать сайты в Google Chrome?

1.2. Получите разрешения для файлов или папок

После того, как вы получите право собственности на файл, следующим шагом будет получение необходимых разрешений для получения полного доступа к этому файлу. Выполните аналогичный процесс, описанный выше, чтобы открыть диалоговое окно «Дополнительные параметры безопасности» файла.

Теперь у вас есть необходимые разрешения для файла или папки и необходимый контроль доступа.

Помните, что все файлы, хранящиеся в родительской папке, будут иметь те же разрешения, что и у этой папки. В случае, если вы хотите изменить разрешения для подчиненных файлов, вы можете перейти к «Расширенным параметрам безопасности» этого конкретного файла и внести изменения, как описано выше. Либо нажмите кнопку «Отключить наследование», когда добавляете свое имя пользователя.

2. Вы являетесь владельцем

Если вы являетесь владельцем файла, вы можете легко изменить разрешения.

Щелкните правой кнопкой мыши файл или папку и перейдите в «Свойства».
Перейдите на вкладку «Безопасность» и нажмите кнопку «Изменить» напротив «Чтобы изменить разрешения, нажмите« Изменить »».
На следующем экране вы можете выбрать существующих пользователей в списке или добавить / удалить пользователя и настроить необходимые разрешения для каждого пользователя.

Заключение

Некоторые из нас устанавливают атрибуты «Только для чтения» или «Скрытый» на вкладке «Общие» в свойствах файла или папки. Однако любой пользователь может легко отключить эти атрибуты. Таким образом, настройка разрешений необходима для защиты от несанкционированного доступа к вашему контенту. Кроме того, как администратор вы можете стать владельцем файлов и при необходимости проверить содержимое.

17.01.2020

PowerShell, Windows 10, Windows Server 2016

комментариев 13

Для управления доступом к файлам и папкам в Windows на каждый объект файловой системы NTFS (каталог или файл) назначается специальный ACL (Access Control List, список контроля доступа). В ACL объекта задаются доступные операции (разрешения), которые может совершать с этим объектом пользователь и/или группы . В большинстве случаев администраторы Window для управления NFTS разрешениями на файлы и папки используют графический интерфейс File Explorer (свойства папки/файла -> вкладка Security/Безопасность) или консольную утилиту icacls. В этой статье мы рассмотрим способы управления разрешениями на объекты файловой системы NTFS из PowerShell. Вы можете использовать эти команды в скриптах и для автоматизации управлением NTFS разрешениями на файловых серверах Windows.

Встроенные командлеты для управления ACL в NTFS: Get-Acl и Set-Acl

В PowerShell v5 (Windows 10 / Windows Server 2016) для управления ACL имеется два отдельных встроенных командлета (входят в модуль Microsoft.PowerShell.Security):

Мы не будем подробно останавливаться на этих встроенных командлетах, т.к. их функционал в большинстве случае недостаточен для управления NTFS разрешениями в реальных задачах. Рассмотрим лишь несколько типовых примеров их использования.

Выведем текущего владельца папки (файла) и список назначенных NTFS разрешений:

get-acl C:\Drivers\ |fl

Path : Microsoft.PowerShell.Core\FileSystem::C:\Drivers\
Owner : WORKSTAT1\root

Group : WORKSTAT1\Отсутствует
Access : NT AUTHORITY\Authenticated Users Allow Modify, Synchronize
NT AUTHORITY\SYSTEM Allow FullControl
BUILTIN\Администраторы Allow FullControl
BUILTIN\Пользователи Allow ReadAndExecute, Synchronize
WORKSTAT1\root Allow Modify, Synchronize
Audit :
Sddl : O:S-1-5-21-3650440056-3766451173-3310994491-1001G:S-1-5-21-3650440056-766451173-3310994491-513D:PAI(A;OICI;0x 1301bf;;;AU)(A;OICI;FA;;;SY)(A;OICI;FA;;;BA)(A;OICI;0x1200a9;;;BU)(A;OICI;0x1301bf;;;S-1-5-21-3650440056-37664 51173-3310994491-1001) Как вы видите, текущие разрешения также представлены в виде SDDL строки – мы вкратце рассматривали этот формат описания доступа в статье Управление правами на службы Windows.

Можно вывести только списки NTFS разрешений в более понятном формате:

С помощью следящей команды можно скопировать NTFS разрешения с одной папки и применить их на другую:

Get-Acl C:\Drivers | Set-Acl C:\Distr

Для выполнения этой операции учетная запись должна быть владельцем ресурса (Owner) и обладать правами Take Ownership.

Главная проблема при использовании Set-ACL – командлет всегда пытается сменить владельца ресурса, даже если вы просто хотите изменить NTFS разрешения. В результате, чтобы добавить права на объект нужно использовать такую конструкцию:

$path = "c:\drivers"
$user = "WORKSTAT1\user1"
$Rights = "Read, ReadAndExecute, ListDirectory"
$InheritSettings = "Containerinherit, ObjectInherit"
$PropogationSettings = "None"
$RuleType = "Allow"
$acl = Get-Acl $path
$perm = $user, $Rights, $InheritSettings, $PropogationSettings, $RuleType
$rule = New-Object -TypeName System.Security.AccessControl.FileSystemAccessRule -ArgumentList $perm
$acl.SetAccessRule($rule)
$acl | Set-Acl -Path $path

Чтобы убрать NTFS доступ к папке для пользователя или группы:
$path = "c:\drivers"
$acl = Get-Acl $path
$rules = $acl.Access | where IsInherited -eq $false
$targetrule = $rules | where IdentityReference -eq "WORKSTAT1\user1"
$acl.RemoveAccessRule($targetrule)
$acl | Set-Acl -Path $path

Чтобы отключить наследование для папки из PowerShell:

Также с помощью Get-acl и Set-Acl можно управлять параметрами NTFS-аудита объектов (см. статью Кто удалил файл на сервере?), либо информацией о текущих разрешениях на OU в AD.

Используем модуль NTFSSecurity для управления разрешениями из PowerShell

Как я уже говорил, встроенный модуль для управления ACL на объекты в PowerShell не самый удобный. Для управления NTFS правами на файлы и папки в Windows лучше использовать отдельный модуль их галереи PowerShell – NTFSSecurity. Последнюю версию модуля NTFSSecurity (4.2.4 на данный момент) можно установить командой Install-Module -Name NTFSSecurity , или скачать вручную (линк). При ручной установке достаточно распаковать содержимое архива модуля в каталог C:\Windows\System32\WindowsPowerShell\v1.0\Modules\NTFSSecurity (не забудьте разблокировать скачанные файлы).

Импортируйте модуль NTFSSecurity в сессию PowerShell:

Выведем список команд, доступных в модуле (доступно 36 командлетов):

Get-Command -Module NTFSSecurity

Выведем текущие NTFS разрешения на каталог:
Get-Item 'c:\distr' | Get-NTFSAccess

Как вы видите, текущие разрешения представлены в более удобной форме.

Чтобы предоставить конкретному пользователю и группе группе полные права на папку, выполните команду:
Add-NTFSAccess -Path C:\distr -Account 'WORKSTAT1\confroom','BUILTIN\Администраторы' -AccessRights 'Fullcontrol' -PassThru

Совет. По умолчанию командлеты модуля NTFSSecurity не возвращают никаких данных, чтобы команда после выполнения выводила новые ACL, используйте параметр PassThru.

Чтобы предоставить права только на верхнем уровне и не изменять разрешения на вложенные объекты (только на папку), используйте команду:

Add-NTFSAccess c:\data\public -Account corp\aaivanov -AccessRights Modify -AppliesTo ThisFolderOnly

Удалить назначенные NTFS разрешения:

Remove-NTFSAccess -Path C:\distr -Account 'WORKSTAT1\confroom' -AccessRights FullControl -PassThru

Следующей командой можно лишить указанную учетную прав на все вложенные объекты в указанной папке (наследованные разрешения будут пропущены):

Get-ChildItem -Path C:\distr -Recurse | Get-NTFSAccess -Account 'WORKSTAT1\confroom' -ExcludeInherited |Remove-NTFSAccess -PassThru

Следующей командой можно назначить учетную запись Administrator владельцем всех вложенных объектов в каталоге:

Get-ChildItem -Path C:\distr -Recurse -Force | Set-NTFSOwner -Account 'Administrator'

Чтобы очистить все разрешения, назначенные на объекты каталога вручную (не будет удалены унаследованные разрешения):

Get-ChildItem -Path C:\distr -Recurse -Force | Clear-NTFSAccess

Включить NTFS наследование для всех объектов в каталоге:

Get-ChildItem -Path C:\distr -Recurse -Force | Enable-NTFSAccessInheritance

Чтобы вывести все разрешения, которые назначены вручную, исключая унаследованные разрешения:

dir C:\distr | Get-NTFSAccess –ExcludeInherited

Можно вывести разрешения, назначенные для определенного аккаунта (не путайте с эффективными разрешениями, речь о них ниже):

dir C:\distr | Get-NTFSAccess -Account corp\aaivanov

Проверка эффективных NTFS разрешений на объекты из PowerShell

Вы можете проверить эффективные NTFS разрешения на конкретный файл или папку с помощью командлета Get-EffectiveAccess . Допустим вы предоставили доступ на некоторую папку нескольким группам безопасности AD и теперь хотите понять, есть ли у конкретного аккаунта (SID) доступ к данной папке или нет. Как это сделать, не выводя состав групп AD, в которых входит его учетная запись? В этой ситуации как раз поможет функция проверки эффективные NTFS разрешений. Допустим, нужно проверить эффективные права на все вложенные папки в каталоге для пользователя confroom.

Get-ChildItem -Path c:\distr -Recurse -Directory | Get-NTFSEffectiveAccess -Account 'WORKSTAT1\confroom' | select Account, AccessControlType, AccessRights, FullName

У каждого файла и папки в Windows 10 есть атрибуты разрешений. Он дает вам право редактировать, читать, писать, выполнять и изменять его. В Windows 10 относительно легко изменить права доступа к файлам и папкам. Однако это зависит от конкретных критериев. В этом посте мы покажем, как вы можете изменить права доступа к файлам и папкам в Windows 10.

Как изменить права доступа к файлам и папкам

Я говорил об индивидуальных критериях, которым вы должны соответствовать. Этими критериями являются полномочия или полномочия пользователя. Если вы являетесь администратором, вы можете почти все изменить в Windows. Он включает в себя возможность изменять файлы, принадлежащие другим лицам. Однако если вы являетесь обычным пользователем, вы можете изменять только принадлежащие вам файлы. В этом посте мы обсудим следующее:

Типы пользователей и разрешений
Измените права доступа к файлам и папкам, которыми вы владеете
Управление разрешениями при предоставлении доступа к файлу или папке другим пользователям
Измените права доступа к файлам и папкам, которыми вы НЕ владеете.

Хотя это выглядит сложным, управлять разрешениями относительно легко. Вам нужно быть осторожным с типом разрешений.

1]Тип пользователей в Windows и разрешения

Учетные записи локальных пользователей включают учетные записи администраторов, обычных пользователей, детей и гостей.
ОС Windows управляет локальными системными учетными записями. Учетные записи с такими именами, как Система, Сетевая служба, Локальная служба, являются системными учетными записями.

Администратор также может управлять системными учетными записями или, по крайней мере, изменять права доступа к файлам вместе с другими локальными учетными записями пользователей.

Еще одна важная вещь, но вы должны это знать. Некоторые из этих разрешений будут недоступны для файлов.

Полный контроль
Изменить
Прочитать и выполнить
Список содержимого папки
Читать
Написать
Особые разрешения

2]Измените права доступа к файлам и папкам, которыми вы владеете в Windows 10

Этот раздел применим ко всем типам пользователей. Пока вы управляете файлами и папками, которые выиграли, особой проблемы нет. Но иногда пользователи сталкивались с тем, что они не могут редактировать файлы, которые принадлежат им или созданы ими. Следуйте инструкциям по устранению этих проблем.

Щелкните правой кнопкой мыши любую папку или файл и нажмите Характеристики.
Переключиться на Вкладка Безопасность, и вы должны увидеть два раздела
- Группы или имена пользователей, у которых есть право собственности на этот файл
- Разрешения для выбранного пользователя
При изменении разрешения для себя лучше всего поставить галочку напротив Полный контроль. Это убережет вас от любых проблем, которые у вас возникли с файлом или папкой.

Как применить одно и то же разрешение к вложенным папкам и файлам

Имеет смысл только иметь полный контроль над всеми файлами и папками внутри него. Делать это одно за другим довольно утомительно, и именно здесь вам нужно использовать кнопку «Дополнительно».
- Во-первых, убедитесь, что вы выбрали набор разрешений или Полный доступ для верхней папки.
- Затем вернитесь на вкладку «Безопасность» и нажмите кнопку «Дополнительно».
- Затем выберите пользователя, которым вы являетесь, и установите флажок:Замените все записи разрешений дочернего объекта наследуемыми записями разрешений от этого объекта.
- Нажмите Применить, а затем кнопку ОК.
Проще говоря, независимо от разрешения, объект, то есть Пользователь, которым в данном случае являетесь вы, будет применяться ко всем файлам и подпапкам.

3]Управление разрешениями при предоставлении доступа к файлу или папке другим пользователям.

Здесь может быть несколько сценариев:
- К файлу можно предоставить общий доступ, но его нельзя изменить.
- Папки открыты для нескольких пользователей, но им не разрешено удалять файл или добавлять какие-либо файлы.
- Некоторым пользователям разрешено изменять файлы, в то время как другие могут иметь доступ только для чтения.
Откройте окно разрешений, нажав кнопку «Редактировать». Затем выберите пользователя, которого вы хотите изменить. Если пользователя нет, вы можете добавить нового пользователя, нажав кнопку «Добавить». Откроется окно поиска, которое можно использовать для поиска пользователя. Добавьте, когда найдете.

4]Изменение разрешений для файлов и папок, которыми вы НЕ владеете

Вот тут-то и появляется право собственности. Если у вас нет папки или кто-то другой изменил файлы таким образом, вы можете изменить это. Однако только администратор может изменить его за вас.

Следуйте нашему подробному руководству, чтобы узнать, как стать владельцем файлов и папок, которыми вы не владеете.

На этот раз это может быть слишком сложно для понимания, но как только вы закончите, путаницы не останется. Надеюсь, вы смогли это ясно понять.

PS: Attribute Changer позволяет легко изменять атрибуты файлов и папок в Windows 10.

Читайте также: