Назад | Перейти на главную страницу

Отметьте «действующие разрешения», «эффективный доступ» из командной строки, Windows / NTFS.

Как имитировать вкладку «Эффективный доступ» в расширенных параметрах безопасности в командной строке (особенно в Win10)? Предпочитаю встроенные инструменты, я собираюсь оценить, sysinternals AccessChk может добиться этого

icacls показывает только группы домена, которым предоставлено разрешение на эту папку, так как я могу проверить отдельного пользователя? Логичный ответ может быть использован net user gregg /domain чтобы проверить, входит ли рассматриваемый пользователь в группу домена, имеющую разрешение на доступ к этой папке. Дадут ли эти два шага всю информацию, которую даст «Эффективный доступ»?

Справочная информация:

Я системный администратор с двумя учетными записями домена (одна обычная / ограниченная, одна администратор домена). Поэтому, когда кто-то говорит, что не может получить доступ к файлу, мне нужно удаленно на сервер, чтобы получить доступ администратора для использования «эффективного доступа», что отчасти неудобно. Могу я как-нибудь сделать это с помощью инструментов RSAT?
Каждая папка на сетевом диске имеет уникальные разрешения, в которых используются группы пользователей домена. Управляющий персонал иногда перемещает файлы из безопасного места в менее защищенную (доступ есть у всех) папку, но безопасные разрешения следуют за этим, вызывая проблемы для других сотрудников. Разрешения обрабатываются по-разному при копировании и перемещении / вырезании (см. kb310316 или это сообщение в блоге), но удачи в объяснении этого конечному пользователю, так как я только что медленно понял концепцию

Связанные вопросы:

Я предпочитаю использовать для этого неродной модуль PowerShell. NTFSSecurity доступно в галерее PowerShell.

Вы можете установить модуль из большинства современных окон Windows Powershell, запустив

Install-Module -Name NTFSSecurity -RequiredVersion 4.2.3

Чтобы получить эффективный доступ, вы должны выполнить следующую команду:

Get-NTFSEffectiveAccess -Path \\path\to\UNC\file -Account <samaccountname>

Он также будет работать на локальных путях; вывод имеет следующий формат:

 Path: \\path\to\UNC\file (Inheritance disabled)

Account      Access Rights     Applies to      Type     IsInherited     InheritedFrom
-------      -------------     ----------      ----     -----------     -------------
DOMAIN\user  FullControl       ThisFolderOnly  Allow    False