Разрешения NTFS для групп и отдельных пользователей в группе?

Question

[by_EL]

Есть пользователь Olga который состоит, например, в рабочей группе Ofis и есть папка которой мы дали доступ рабочей группе Ofis, но запретили пользователю Olga или же, например, мы дали разрешение Чтение и запись рабочей группе Ofis, отдельно пользователю Olga - Только чтение, какое правило будет соблюдаться (работать)?

P.S. Заранее спасибо, пожалуйста подробно описывайте.

Answer 1

[Saboteur]

Согласно спецификации Microsoft, запрет имеет преимущество над разрешением.

То есть если у юзера есть запрет на доступ через права на юзера или на одну из его груп, то доступ будет запрещен.

Comments

[by_EL]

Спасибо за ответ а во втором случае как будет пользователь OLGA может записать файлы имеет право на записи??

[Владимир Дубровин]

Разрешающие и запрещающие доступы суммируются по группам (т.е. у пользователя будет сумма доступов, которые у него есть на прямую и по всем группам, куда он входит, аналогично с запретами), при этом запрещающие правила приоритетней.

Во-первых, никогда не используйте пользователей в списках доступа, исключение - только их личные (домашние) папки или профили. Всегда создавайте ролевую группу, даже если там будет только один пользователь.
Во-вторых, никогда не давайте разрешения на доступ напрямую к ресурсам (например папкам) даже пользовательским (ролевым) группам. Для доступа к ресурсам обычно создаются ресурсные группы (они могут быть локальными), например для доступа к определенной категории файлов может быть создано две ресурсных группы - одна на чтение, другая на чтение и запись, ролевые группы добавляются в ресурсные группы. Это сильно упрощает управление доступом и делает его понятным.
По рекомендациям Microsoft, доступ пользователей к ресурсам организуется именно так
Пользователь -> Ролевая группа -> Ресурсная группа -> Ресурс

[vreitech]

Владимир Дубровин, я бы добавил - старайтесь избегать запрещающих правил. в подавляющем большинстве ситуаций запрет на доступ можно реализовать невыдачей соответствующего разрешающего правила.

[Saboteur]

Обходитесь разрешающими правилами
Если прав нет - значит нет. Если право есть - это право на чтение/запись.
Так работать проще. Создаете нужное количество групп доступа, и добавляете пользователя в группы.

А запрещающие правила - это нестандартная ситуация.