Как ограничить доступ пользователей к чужим файлам и папкам в домене?

Question

[Korhoff]

Всем доброго времени суток)
Встал на работе очень важный вопрос...
Опишу суть:
Есть локальная сеть, есть домен. Допустим в этом домене есть компьютер, на котором работает несколько пользователей, которые заходят под доменными учетками. Один сохранил созданный им файл на диск D, после чего другой человек, зашедший на этот комп после него, залез на диск D и все ему удалил. Или всю папку с документами. Есть ли возможность выставить такие права пользователей, чтобы контроллер домена запрещал пользователям удалять созданные не ими файлы и папки. Я знаю как это сделать локально, но бегать к каждому компьютеру с моей точки зрения неправильно, политика должна назначаться централизовано. Файловый сервер сделать нельзя. Есть ли вообще возможность это настроить?
Буду безумно благодарен за помощь!

Answer 1

[nApoBo3]

Для всех папок никак, только для определенных.
Лучший вариант, сохранять файлы в свой профиль, к нем доступ имеет только сам пользователь и администратор ( ну и ещё все кто забутился с внешних носителей )

Comments

[Korhoff]

То есть централизовано это сделать нельзя?
А можно подвязать диск Д к профилю пользователя?

[res2001]

Korhoff, Можно профили перенести на диск Д. Правда я никогда не переносил доменные профили, только локальные, но по идее и с доменными должно то же самое прокатить.

[nApoBo3]

Korhoff, профиль можно перенести. Централизованно как, но вы должны точно заранее знать все необходимые пути, и это не очень хорошо, поскольку буквы дисков назначаются системой и могут меняться. Права на каталоги можно назначать через групповые политики.
Плюс в случае необходимости передать данные одного пользователя другому возникнут сложности с поиском этих самых файлов и изменением прав на них. В случае же с профилем достаточно скопировать файлы из одного профиля в другой.

[Korhoff]

nApoBo3, как назначить права на каталоги?
Как называется политика?
Данные пользователя мы не передаём никогда, сразу стираем)

Answer 2

[sanglyb]

Можно через групповые политики менять разрешения на папки и файлы - https://www.lepide.com/how-to/assign-permissions-t...

Там можно что то подобное задать:


Т.е. отключаем наследование, пользователям оставляем разрешение только на чтение и изменение и применяем только на эту папку. Убираем прошедших проверку. А создателю-владельцу даём полный доступ на подпаки и файлы в подпапках.

Т.е. на диске Д должна быть создана папка, к которой будет применяться политика с правами как на скринах. Получится, что пользователи смогут в этой папке создавать свои папки, доступ к которым будет только у того, кто создал папку. Удалять чужие папки пользователи не смогут, как и содержимое, т.к. не смогут входить в папки, которые были созданы не ими.

Но имхо, так лучше не делать, т.к. подобные топорные решения создают бардак, безобразие и конечном счете, рано или поздно станут кошмаром администриторов. Лучше уж, из старого компутатора хоть какой-нибудь файловый сервер сделать (главное бэкапить почаще)

Answer 3

[Dimonchik]

контроль учетных записей и повыкидывать юзеров из локальных админов на компах где творят такое

Comments

[Korhoff]

Так они там тупо юзеры, локальные админы запаролены. Какой контроль кстати?

Answer 4

[CityCat4]

В локальной сети с доменом файлы должны храниться централизованно. Это одна из аксиом, которые обычно не обсуждают - делают и все. Централизованно можно скрипт собственный написать, который будет делать то, что Вам нужно.
И разумеется, у юзеров не должно быть прав локальных аминов.

Comments

[Максим Ярошевич]

Именно так - только централизованное хранение данных, иначе никак. Сохранность данных на компьютерах пользователей обеспечить практически нереально - при наличии физического доступа и желания можно сделать всё, что угодно.

Документы пользователя надо хранить ТОЛЬКО в папках пользователя, для обмена сделать общую папку с правильно настроенными правами. И если уже очень надо - можно настроить мониторинг этой папки, кто в ней что и когда удалил, но проще обеспечить резервное копирование - и проблема исчезнет сама собой.

Кроме того - не стоит забывать про теневые копии этой папки несколько раз в рабочее время - несколько раз крепко выручало.

Answer 5

[ComodoHacker]

Разрешить пользователям создавать свои файлы только в своих профилях. Туда другим пользователям доступ запрещен.

Comments

[Korhoff]

А какой механизм закрывает доступ к профилям, и можно добавить ещё папки которые будут защищены?

[ComodoHacker]

Механизм называется разрешения файловой системы, aka DACL. Это то, что на вкладке Безопасность в свойствах файлов и папок.

Чтобы добавить еще папки, нужно настроить разрешения для них, с учетом наследования.

Кстати, разрешения на корень диска по умолчанию не позволяют обычному пользователю создать там папку. ЕСли ваши пользователи могут это делать, значит у них больше прав в системе, чем положено. Это тоже нужно исправить.

Answer 6

[fpir]

Без проблем, Создаёте на диске д папки с именами пользователей. Пользователям говорите - кто создаст файл не в своей папке - ССЗБ. Настраиваете права на папки для пользователей, например для всех пользователей домена чтение, для владельца полный доступ. Меняете владельца папки с себя(вы создавали) на пользователя. Или задаёте полный доступ тому, чья папка, остальным чтение, оставляете владельцем себя. В этом есть смысл-человек уволится - вам проще будет удалить.