O usuário no grupo de administradores do domínio não pode acessar o diretório ao qual o grupo tem permissão para acessar

Eu me deparei com um problema bastante interessante ao brincar com um dos meus laboratórios de domínio.

Há um diretório em um servidor de arquivos 2008 R2 que está sendo usado para o redirecionamento de pasta para todos os usuários na UO "Equipe". O diretório tem as seguintes permissões definidas:

FILESERVER \ Administradores: permite controle total para o diretório, subdiretórios e arquivos
DOMÍNIO \ Admins. Do Domínio: permita controle total ao diretório, subdiretórios e arquivos
Usuários autenticados: permitem criar arquivos, criar pastas, gravar atributos e gravar atributos estendidos apenas no diretório superior

Além disso, o diretório também é um compartilhamento de rede com "Permitir controle total" no grupo Usuários Autenticados.

Quando o usuário john.doe, membro do grupo de administradores de domínio, tenta acessar o diretório a partir do servidor de arquivos, ele recebe o erro "No momento, você não tem permissão para acessar esta pasta". Tentar acessar o compartilhamento de rede do mesmo servidor também resulta em um erro de permissão negada (embora o usuário ainda possa acessar seu próprio diretório dentro do compartilhamento).

O acesso ao compartilhamento de outro computador conectado como o mesmo usuário permite o acesso configurado.

A única maneira de acessar os arquivos no diretório enquanto estiver conectado ao servidor de arquivos é abrindo um prompt de comando elevado. O UAC está desabilitado para todos os computadores no domínio por meio da Diretiva de Grupo (execute todos os administradores no modo de Aprovação de Administrador ativado e o comportamento padrão definido como elevado sem aviso).

Todas as estradas apontam para o acesso do usuário, mas ele ainda está sendo negado. Alguma ideia?

windows active-directory permissions

— EnglishInfix
fonte

Existe alguma Negação de ACEs na ACL?

— Shane Madden

Não há permissões de negação definidas na ACL para o diretório de qualquer grupo ou usuário.

— EnglishInfix

Respostas:

Isso ocorre por design. O UAC retira a credencial de administrador de qualquer processo não elevado. Se você estiver tentando usar um processo não elevado para acessar um compartilhamento remoto usando apenas credenciais de administrador, o UAC retirará as credenciais de administrador do token de segurança do processo e o processo receberá um erro de "acesso negado".

Para remediar isso, você pode:

Não use credenciais de administrador para proteger a pasta (crie um grupo genérico apenas para essa finalidade) ou
Desative o UAC no servidor de arquivos (não recomendado) ou
Habilite a seguinte chave do Registro no servidor de arquivos para desabilitar apenas essa parte do UAC.

Mais informações: Descrição do controle de conta de usuário e restrições remotas no Windows Vista

— John Homer
fonte

Acabei de perceber que isso é de maio passado. Não sei por que ele apareceu no meu RSS feed esta manhã ...

— John Homer

John, estou feliz em alterar minha resposta e em te votar, mas queria ter certeza. O artigo da KB diz "estranho", na Domain user accountsseção, como se não tivesse nenhuma influência. O OP declarou que ele estava no servidor de arquivos acessando as unidades locais e o caminho UNC diretamente do servidor. Eu não tenho uma maneira rápida (mas poderia, se necessário) testar a regkey, mas apenas perguntando se você tem certeza de que isso realmente corrigirá o problema exatamente como o OP descrito e não apenas para o acesso remoto ao caminho UNC?

— TheCleaner

Eu já tive esse problema várias vezes. Acessar um compartilhamento localmente é o mesmo processo que um compartilhamento remoto. Ele ainda usa o redirecionador UNC para acessar a pasta e estaria sujeito ao mesmo comportamento. Suponho que a máquina remota era uma versão mais antiga (não UAC) do Windows. Infelizmente, o OP não forneceu essas informações. Apenas com base nas informações que ele forneceu (especialmente a necessidade de elevar para que funcione corretamente) me leva a acreditar que esse é o problema.

— John Homer

Sim, entendeu, mas ele afirmou que primeiro tentou a unidade local (sem compartilhamento) e depois o compartilhamento UNC. Mas discordo ... vou alterar minha postagem e votar na sua ... Não tenho motivos para não confiar na sua resposta.

— TheCleaner

A chave do Registro NÃO funcionou para mim, mesmo após a reinicialização. Desativar o UAC também não funcionou. Apenas o grupo genérico trabalhou para mim.

— Skinneejoe

O UAC está retirando as credenciais de administrador de domínio no próprio servidor, é parte de como o UAC (estupidamente IMO) funciona. Uma opção é desativar o UAC no servidor completamente para não receber o prompt "No momento, você não tem permissão para acessar esta pasta".

EDIT: aqui está um exemplo de thread btw: http://social.technet.microsoft.com/Forums/en-US/winservergen/thread/9061bc1c-42ea-47ed-8c7d-56b07139fb86/

EDIT2: A resposta de John abaixo pode ser exatamente o que você está procurando. Experimente e relate se puder.

— O limpador
fonte

Outra opção seria adicionar uma ACL à pasta para outro grupo do qual o usuário seja membro, com as permissões apropriadas.

— Greg Askew

Desculpe TheCleaner, mas você está incorreto. Você não precisa desativar o UAC para fazer isso funcionar. Há uma chave do registro (LocalAccountTokenFilterPolicy) que desativa apenas esta parte do UAC. Mais informações aqui: support.microsoft.com/kb/951016

— John Homer

@ JohnHomer - veja meu comentário na sua resposta. Vou alterar minha resposta como uma possibilidade, mas aponto e votei a sua também, se você tiver certeza de que o artigo da KB se aplica aos problemas de unidade do servidor local, bem como o OP descrito.

— TheCleaner

-1

A melhor maneira é alterar a chave do registro em

registry::HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\policies\system; key = EnableLUA

Verifique se está definido como Valor 0 para desativar
Você precisa reiniciar para que ele entre em vigor.
A interface pode mostrá-lo como desativado enquanto o registro está ativado

— Ben
fonte

As chaves de política não devem ser definidas manualmente. Eles são usados pelo gerenciamento de diretivas de grupo para armazenar configurações. Mais informações: technet.microsoft.com/en-us/library/cc962657.aspx

— John Homer