Почему доступ запрещен для пользователя в пределах разрешенной группы?

Question

Прежде всего позвольте мне начать с того, что я не являюсь ИТ-экспертом, и в последнее время я много экспериментировал с общим доступом и разрешениями в Windows 8.1. Я достиг крайнего замешательства прямо сейчас, и я ничего не могу найти в Интернете.

Поскольку я не пользуюсь профессиональной версией Windows 8.1, мне пришлось использовать команду net LOCALGROUP в командной строке, чтобы добавить пользователей в группы и т.д.

Я в основном сделал LOCALGROUP под названием HomeSecure и добавил к нему двух пользователей (AdminOne и AdminTwo). Оба эти пользователя также входят в группу администраторов и действительно являются учетными записями администраторов в Windows. Это звучит бессмысленно, но это потому, что я пытаюсь вручную смоделировать функциональность HomeGroup и планирую добавить учетные записи без прав администратора с других рабочих станций, используя вместо этого команду net GROUP, как только я получу основы.

Я проверил, и команды работали просто отлично. Учетные записи администратора находятся в этой группе. Путаница возникает, когда я удаляю абсолютно все пользовательские и групповые разрешения (включая « Все») из моих папок C:\Users\AdminOne и C:\Users\AdminTwo, кроме « Администраторы» и « SYSTEM», затем продолжаю добавлять разрешения для группы HomeSecure . ,

Все группы, которым я дал полный контроль над папками. Я пошел в расширенные настройки и удостоверился, что все проверено, и даже заставил группу HomeSecure вступать во владение папками. Также стоит упомянуть, что я заставил все дочерние объекты наследовать владельцев и разрешения этих папок.

Но даже после всего этого я все еще не могу получить доступ к указанным выше папкам из сети с помощью участников HomeSecure . Я также не могу получить к ним доступ прямо из C:\ без запроса административного согласия.

Получая доступ через сеть, я получаю: У вас нет разрешения на доступ ----- Обратитесь к администратору сети для запроса доступа.

Получая доступ через C:\, я получаю: У вас нет прав доступа к этой папке.Нажмите «Продолжить», чтобы навсегда получить доступ к этой папке.

Если я нажимаю продолжить, все, что Windows делает, это добавляет разрешения для текущего пользователя (AdminOne или AdminTwo), который кажется избыточным, потому что они уже были разрешены? Они уже были разрешены через разрешения HomeSecure ?

Зачем? Разве нельзя разрешить AdminOne и AdminTwo доступ к обеим папкам в обычном порядке, поскольку они находятся в группе HomeSecure ?

Answer 1

Есть несколько, с которыми вы, вероятно, столкнетесь здесь:

Обновление токена

Членство в группах хранится в токене пользователя, копии которого прикрепляются к каждому процессу, выполняемому от имени этого пользователя. Запустите whoami /all в командной строке, чтобы увидеть, какие группы появляются в вашем токене. Тот, который присоединен к процессу whoami будет наследоваться от cmd , который наследуется от explorer . Если членство в группе не появляется, необходимо выйти и снова войти. Затем Windows распознает, что вы действительно являетесь членом соответствующей группы, и позволит вам делать то, что разрешено группе.

Поделиться разрешениями

При совместном использовании файлов через общие ресурсы Windows существует два списка контроля доступа, которые пользователь должен передать. Во-первых, ACL на самом ресурсе (не в папке). Вы можете получить доступ к этому списку ACL, нажав кнопку «Разрешения» в дополнительных настройках общего доступа к общей папке. Затем проверяется нормальный ACL файловой системы. Если в ACL есть запись запрета для пользователя или одной из его групп, операция запрещается. Если в любом из ACL нет соответствующей записи для пользователя или его групп, операция запрещается.

UAC

Обратите внимание, что членство в мощных группах по умолчанию, таких как администраторы, игнорируется для общих сетевых ресурсов, которые не являются частью доменов, если вы не отключите UAC. Кроме того, если Explorer не работает с повышенными правами, он запросит учетные данные администратора, если вы попытаетесь перейти в папку, в которую могут войти только администраторы.