Действующие разрешения в Windows Server 2008 R2

Question

Поэтому я создал виртуальный жесткий диск для проверки некоторых разрешений на компьютере, подключенном к домену.

VHD монтируется как E:\

Внутри E:\ я создал папку с именем web (т.е. e:\ web)

Я щелкаю правой кнопкой мыши на веб-папке в E, захожу в Свойства> Безопасность> Дополнительно

Вот как выглядит моя вкладка разрешений

Если я нажму на вкладку «Действующие разрешения» и введу имя пользователя, я предполагаю, что если этот пользователь является членом моей локальной группы администраторов или группы локальных пользователей, у них должен быть полный доступ (для администраторов), и если они являются пользователями, они будут иметь читать / выполнять завивки.

Однако, когда я ввожу имя кого-то, кто не является членом локальной группы администраторов, а является просто обычным пользователем в домене, я получаю следующее

Что здесь происходит? Это как-то связано с локальной группой «Пользователи», имеющей права на чтение и выполнение папки? Есть ли какой-нибудь способ заблокировать обычных пользователей домена от возможности просмотра этой папки?

Answer 1

Документация Windows Server гласит, что функция «Эффективное разрешение» в проводнике Windows предоставляет только приблизительные значения реальных действующих разрешений, которые применяются к пользователю. Вы можете прочитать здесь или погуглить о тех же скучных словах ... Проводник Windows не разрешает всю цепочку разрешений для объекта файловой системы, в случае вложенных групп AD или междоменных (или поддоменов) учетных записей Проводник Windows не показывает вам реальные разрешения. Чтобы проверить всю цепочку разрешений, основываясь на реальных разрешениях для файловой системы, вам нужно использовать внешний инструмент или систему, такую как Data Rover EP. Это было действительно решающим для нужд моей компании (... и это позволило мне сделать хорошее впечатление с моим боссом :P ).

Answer 2

Так что я понял это. Ответ достаточно прост. Когда компьютер присоединяется к домену Windows, к локальной группе «Пользователи» добавляется глобальная группа «Пользователи домена». Именно поэтому пользователи смогли пройти аутентификацию в этой папке.