Я не понимаю изменений в разрешениях NTFS для Vista/7/2008

Question

В NT до Vista, если вы создали локальную папку и были в группе «Администраторы» и предоставили этой папке полный доступ, вы можете получить к ней доступ локально. Теперь в Vista/7/2008 написано «Вы хотели бы добавить себя в эту папку навсегда?", а затем вы нажимаете продолжить, и он добавляет вашу учетную запись.

Если у вас просто есть:

SYSTEM
Administrators

Он блокирует папку и выводит вопрос.

Однако, если у вас есть одно из следующего:

SYSTEM
Administrators
[another group to which you are a member and have access to the folder with] OR
Authenticated Users group [with read or more] OR
CREATOR OWNER [but it will just re-add your user account if you leave CREATOR OWNER]

Он не блокирует папку и действует так, как вы ожидаете.

Почему это работает так? Это кажется мне нелогичным. Кажется, что это открывает возможность запутать людей и создать дыры в безопасности. Есть ли "лучшая практика" и если да, то что это?

Answer 1

Что вам не хватает, так это то, что благодаря UAC к программному обеспечению, которое вы запускаете большую часть времени, не применяется маркер «Администраторы». Так что, если единственные ACE предназначены для системы и администраторов, у вас не будет доступа, если вы не повышены.