Как в Windows 10 запретить администратору доступ к папке другого администратора?

Question

[Azcky]

В винде два пользователя, двоим необходимы права администратора, но при этом важно, чтобы один из них не мог просматривать данные другого

Comments

[Владимир]

ИМХО нужно искать решение, которе не требует наличия у обоих прав администратора. На то он и администратор, чтобы менять права доступа.

Answer 1

[Вадим]

Запрет можно выставить, но с правами администратора его легко убрать.
Стандартными средствами Windows - никак.

Answer 2

[akelsey]

Зашифруйте данные EFS, каждый своим ключем (но с осторожностью, обычно все попытки так отгородиться - приводят к печальным последствиям, особенно с EFS т.к. это очень прозрачно и на первый взгляд очень легко и хорошо работает - потом сбрасывают пароль или переустанавливают ОС без сохранениня ключей и всё данных больше нет.)

Answer 3

[АртемЪ]

Как в Windows 10 запретить администратору доступ к папке другого администратора?

Правая клавишам мыши - безопасность - изменить.
Выбираете нужного пользователя и задаете ему нужные права.
Все.

Comments

[Довольный Айтишникъ]

А другой администратор берет и разрешает себе доступ))))

[АртемЪ]

Довольный Жизнью, И что?

[Довольный Айтишникъ]

АртемЪ, Ну так разве это запрет? Один админ правами от другого админа никак не отделится, только шифрование.

[АртемЪ]

Довольный Жизнью,

Ну так разве это запрет

Конечно запрет.
Администратор такой же пользователь, и так же подчиняется правам. Если ему запрещено смотреть он не сможет посмотреть.

[CityCat4]

АртемЪ, Да, но он может сделать так, что ему будет разрешено посмотреть :)

[Yan]

АртемЪ, я смог, даже без коммандной строки
> создал юзера2, в группе админ/юзер (юзер1 та же группа)
> папке юзера дал разрешения > система полный доступ(разрешить), юзер2> полн. дост. разр
юзер1>полн доступ запретить

делаю выход. захожу с юзера1 в папку юзера2. "Отказано в доступе"
свойства>безопасность>дополнительно>меняю владельца на юзер1
нажимаю ок. снова захожу в безопасность>дополнительно
удаляю запрет для юзер1
Готово, вы восхитительны

[Довольный Айтишникъ]

АртемЪ,

Если ему запрещено смотреть он не сможет посмотреть

Как раз нет, если ему запрещено, он просто разрешит и посмотрит, изменит, удалит...))))

[АртемЪ]

CityCat4, Конечно сможет.
Но ему придется менять права доступа.

Answer 4

[AUser0]

Если права нужны для запуска какой-то программы - можно настроить запуск этой программы с правами администратора. Тогда права админа самим пользователям можно и не давать.

Answer 5

[Saboteur]

Два варианта:

1. Сделать каждому по шифрованному разделу, подключать его при логине.

2. Сделать две папки, владельцем одной сделать первого, владельцем второй сделать второго, и назначить папке права - доступ только владельцу. Второй администратор не сможет изменить права доступа, не став владельцем. Как админ, он может это сделать, но это будет отображено в информации о владельце папки, то есть скрытно не выйдет. Хотя на одном компе не проблема сбросить чужой пароль и зайти под другим админом. Поэтому все эти игры между двумя админами без проблем обходятся при большом желании. Итого см п.1

Comments

[CityCat4]

1. Нет защиты от сброса пароля. Если данные настолько сенситивны, что даже однократная утечка существенна (самый простои пример - интимные фотки) - уже фсе. Да, незаметно не выйдет, но это работает только если стоит задача защититься от необнаруживаемой утечки.
2. То же самое. Защищает только от необнаруживаемой утечки, к тому же после того, как данные слиты - можно и обратно поставить владельцем второго.

Решением может быть по диску с VeraCrypt на каждого при условии, что каждый сам себе в отсутствии другого придумал пароль

[Максим Гришин]

CityCat4, по поводу 1) - вы неправы, ключ шифрования EFS в случае сброса пароля расшифровывается некорректно и данные с зашифрованных разделов становится не достать. Только при смене пароля самостоятельно ключ перешифровывается новым паролем и владелец не теряет доступа к своим EFS-зашифрованным данным.

[CityCat4]

Максим Гришин, Хм, ну хорошо, согласен, частичная защита есть. То есть данные будут проIOBaны, но раскрытия не будет. Это кое-что :) Кроме того, это приучает данные бэкапить :)

[Saboteur]

Максим Гришин, а если один админ поменяет пароль другому, данные расшифруются?

Ведь можно сделать так:
1. бэкап efs раздела
2. бэкап system32/config
3. насильная смена пароля
4. копирование всех нужных данных
5. восстановление из бэкапа.

И данные скопированы и никто не заметил?