Плохо ли иметь одного пользователя для каждого файла / каталога в общем ресурсе?

Question

Я реструктурирую грязный общий ресурс Windows Server 2012, который у меня есть.

Я хочу использовать iCacls для написания сценария .bat, чтобы я мог установить разрешения ntfs как можно более строгими, а затем впоследствии использовать этот сценарий, чтобы вернуться к моей предварительно определенной структуре разрешений ntfs «по умолчанию» в случае других администраторы добавляют дополнительные разрешения и т.д. со временем.

Я читал, что iCacls будет получать ошибки «Отказано в доступе» при настройке разрешений, если только он не вызывается владельцем файла, поэтому я подумал об использовании TAKEOWN driveletter: /R чтобы стать владельцем всего в общем ресурсе.

Буду ли я открывать какие-либо угрозы безопасности, меняя владельца всего на доменное имя \ администратор? Я волнуюсь, что это единственная точка отказа или что-то, что может повлиять.

Answer 1

Настройка владельца не меняет права безопасности, поэтому угрозы безопасности нет. Установка прав безопасности делает, но только для тех, кто в сети. Чтобы управлять файлами, вам не обязательно быть владельцем, просто входите в группу безопасности или добавляйтесь в качестве участника безопасности с полным доступом. Но если у вас его нет, вы также не сможете установить права собственности. Обратите внимание, что вы всегда можете выдвинуть права снизу и установить все разрешения для их наследования. Лучшей стратегией было бы сначала объявить о том, что вы работаете над этим, и люди не могут его использовать, а затем удалить все разрешения и выполнить сборку с нуля.