После удаления аутентифицированных пользователей папка сервера Windows остается доступной для записи без необходимости повышения прав администратора

Question

В Windows Server 2016 я создал папку, в которой в какой-то момент были следующие разрешения:

В то время, когда я щелкнул правой кнопкой мыши в папке в проводнике Windows, я увидел бы это:

Однако не всем пользователям домена разрешен доступ к этой папке, поэтому я удалил группу «Прошедшие проверку». Я дал полный контроль другой группе пользователей, ____ Разработчикам (первое слово опущено в целях безопасности), членом которой я являюсь (я также являюсь администратором на этом сервере), таким образом:

Теперь команда New в контекстном меню Explorer выглядит так:

Итак, теперь единственная опция, которую он дает мне для New, - это новая папка, и она хочет, чтобы я дал на это полномочия администратора. (Я также в группе администраторов локального сервера.)

Кроме того, когда я пытаюсь скопировать файлы в эту папку, мне предлагается предоставить разрешение администратора. Когда я открываю файл в этой папке в Notepad++, я не могу сохранить его без повторного открытия Notepad++ в режиме администратора.

На вкладке "Безопасность" в свойствах папки я проверил, что "Эффективный доступ" для моей учетной записи действительно является полным контролем. Так почему же он не позволяет мне создавать и копировать файлы без необходимости каждый раз переходить к администратору? Почему важно, какая группа, членом которой я являюсь, имеет доступ к этой папке? Является ли единственный способ отобразить все "новые" параметры и сохранить файл без необходимости перехода к праву администратора, чтобы включить группу "Прошедшие проверку"?

Есть ли способ обойти это препятствие?

Answer 1

Чтобы сделать это, вам нужно сделать одну из двух вещей:

1. Явно предоставьте доступ либо вашему пользователю, либо группе, частью которой вы являетесь.

2. Отключить контроль учетных записей. Знайте, что отключение контроля учетных записей имеет очень реальный потенциал, чтобы быть рискованным (это отличается от "поднять без запроса").

По умолчанию процессы выполняются в менее привилегированном контексте безопасности, отключая административные функции, если не требуется повышать уровень. Это помогает сохранить принцип наименьших привилегий, даже при работе с административными пользователями.