Для нашего установочного образа для Windows 10 (версия для образовательных учреждений) я хотел бы запретить пользователям создавать новые папки на C:\. Эта установка используется учащимися, совместно использующими ПК в классе, и поэтому мы хотим, чтобы основной каталог на диске был чистым (у всех есть домашние каталоги для хранения своих данных). В текущей установке Windows 7 я мог очень просто редактировать разрешения, используя стандартный графический интерфейс Windows. С Windows 10 это не удается.
Что я уже пробовал:
C:\ каталог из графического интерфейса → Доступ запрещенcacls из командной строки с повышенными привилегиями → Доступ запрещенtakeown /f c:\ /a команда → Доступ запрещенcacls и takeown команды из командной строки, запущенной пользователем SYSTEM (полученные с помощью psexec64) → Доступ запрещенНесмотря на то, что разрешение пользователям создавать свои собственные папки на C:\ (новые файлы не разрешены), это не то, что мы хотим, потому что мы хотели бы убедиться, что люди используют свой дом (в котором есть резервные копии и снимки, в отличие от локальных жестких дисков ПК).
Разрешения на C:\ выглядят так же, как при установке Windows 7 Enterprise, включая обязательную этикетку (icacls отображает в обоих случаях Mandatory Label\High Mandatory Level:(OI)(NP)(IO)(NW)), а хозяин тот же (TrustedInstaller), поэтому я не ожидал увидеть в этом разницу между Windows 7 и Windows 10.
Сейчас, есть вариант, который действительно работает: с помощью cacls из командной строки восстановления Windows 10. Однако, хотя это решение подходит для развертывания образа, у нас также есть несколько машин, которые необходимо исправить вручную, потому что мы не можем их повторно создать. Несмотря на то, что я могу загрузить восстановление Windows 10 через PXE (используя memdisk и ISO-образ компакт-диска), было бы очень полезно, если бы это можно было сделать из реальной ОС, работающей на машинах. Еще лучше, если это может быть один с GPO.
Поместите это в ответ, чтобы получить постоянную запись: Windows 10 не мешает вам изменять разрешения в корне диска C. OP подтвердил, что это поведение было вызвано их антивирусным программным обеспечением.
Не прямой ответ, но поскольку это общие компьютеры, существует объект групповой политики, который ограничивает весь диск C, позволяя при этом работать установленным на нем программам.
Это только заблокирует пользователю навигацию по диску C, даже при сохранении в виде Windows. Это может быть хорошим обходным решением.
Конфигурация пользователя \ Административные шаблоны \ Компоненты Windows \ Windows
Запретить доступ к дискам с моего компьютера.
И Ограничить только диск C