Запутался в формулировке текста в окне Действующие разрешения

Question

В окне «Действующие разрешения» в проводнике Windows вы можете ввести имя пользователя или группы и посмотреть, какие разрешения будут иметь этот пользователь или группа для этого конкретного файла.

Я немного запутался по поводу выделенного текста:

«... основано исключительно на разрешениях, предоставленных непосредственно через членство в группах»

В этом примере рассматриваемый пользователь не получает никаких разрешений по членству в группе - все записи разрешений определены только для пользователя. Однако указанные разрешения являются правильными.

Формулировка предполагает, что в окне отображаются только разрешения, предоставленные группе, членом которой является пользователь, но это не может быть правильным, поскольку этот пользователь получает только разрешения, специально предоставленные ему, а не членством в группе. Так что же означает этот текст?

Answer 1

Документация Windows Server гласит, что функция «Эффективное разрешение» в проводнике Windows предоставляет только приблизительные значения реальных эффективных разрешений, которые применяются к пользователю. Вы можете прочитать здесь или погуглить о тех же скучных словах ... Проводник Windows не разрешает всю цепочку разрешений для объекта файловой системы, в случае вложенных групп AD или междоменных (или поддоменов) учетных записей Проводник Windows не показывает вам реальные разрешения. Чтобы проверить всю цепочку разрешений, основываясь на реальных разрешениях для файловой системы, вам нужно использовать внешний инструмент или систему, такую как AccessChk или Niu Lang (извините за ссылку: у меня слишком низкая репутация).

Answer 2

В справке для вкладки «Действующие полномочия» говорится: «Если вы хотите узнать, какие полномочия есть у пользователя или группы для объекта, вы можете использовать инструмент« Эффективные полномочия »».

Так что это инструмент для проверки вашей безопасности, чтобы увидеть, работает ли он и как. Когда вы устанавливаете разрешения, вы в конечном итоге смотрите на ограждение по периметру вокруг вашего двора. Когда вы смотрите на эффективные разрешения, вы оглядываетесь назад из внешнего мира, чтобы увидеть, какие двери открыты для конкретного человека (или группы).

Начните с нажатия «выбрать» справа от «Группа или имя пользователя:», которое дает это диалоговое окно:

Нажмите «Типы объектов ...» и отметьте только "Пользователи". Затем нажмите ОК.

Затем нажмите «Местоположения ...» и выберите местоположение, к которому у этого пользователя есть доступ. В моей системе у меня есть только один компьютер для выбора. Но если бы у вас были права доступа на других машинах, они бы отображались здесь. Сделайте выбор местоположения (хоста) и нажмите ОК.

Теперь, чтобы помочь вам увидеть, как работает следующий блок, нажмите кнопку "Дополнительно". Вы увидите список всех пользователей, у которых есть доступ к этому ресурсу на выбранной вами машине. Выберите одного из менее привилегированных пользователей, таких как гость, и нажмите ОК.

Теперь обратите внимание, что вы можете ввести это также в поле "Введите имя объекта для выбора", и вы также можете ввести несколько вариантов машины \ пользователя (одновременно) здесь.

Нажмите кнопку «ОК», чтобы вернуться на вкладку «Действующие разрешения» с новыми вариантами. Я выбрал Love2/Guest, и это показывает, что у гостя нет действующего разрешения на мою машину, и это правильно, поскольку лучше не иметь никакого разрешения, так как я не предоставил никакого разрешения гостям.

Теперь вернитесь и выберите другую пару компьютер / пользователь, например, ваш основной аккаунт на вашем компьютере. Теперь, когда я нажимаю кнопку ОК, чтобы вернуться на вкладку действующих разрешений, я вижу, что у меня есть полный контроль над всеми разрешениями. Помните, что это для файла или папки, о которых я спрашивал, когда начинал весь этот процесс. В моем примере это папка: "Ножницы Милуоки".

Надеюсь, это поможет вам понять, для чего предназначена эта вкладка.