Permissões de pasta do Windows, Administradores e UAC, qual é a maneira "certa" de lidar com isso?

Eu tenho uma pasta com permissões:

• Administradores (grupo): Completo.
• J. Bloggs: Completo.

Estou logado como membro do grupo Administradores.

Não consigo abrir a pasta no Explorer porque "você não tem permissão".

Suspeito que isso ocorra porque os processos normais não têm o token de permissão de administrador por causa do UAC, a menos que você também 'execute como administrador'. Mas não posso fazer isso no Windows Explorer, posso?

Portanto, minhas opções parecem ser: - Clique no botão para assumir a propriedade (destrói a propriedade, leva anos em pastas grandes, não resolve outros administradores) - Adicione cada conta de administrador individual com permissões totais para que funcione sem o token de administrador (administrativo bagunça, qual é o objetivo em grupos)

Este é um design realmente irritante, devo estar faltando alguma coisa. Como é que isso funciona? Qual é a maneira 'certa' de um administrador acessar uma pasta à qual os administradores têm acesso?

A solução é simplesmente gerenciar o servidor remotamente. A filtragem do UAC dos privilégios de administrador se aplica somente quando você está acessando o sistema local.

Com o lançamento do Server Core, a Microsoft incentivou fortemente as pessoas a administrar remotamente servidores em vez de se conectarem diretamente a eles para gerenciá-los.

Obviamente, se você possui uma rede muito pequena, isso pode não ser viável; portanto, desabilitar o UAC é bom ou ajustar as permissões do sistema de arquivos para que outro grupo seja usado em vez de administradores para conceder permissões.

A melhor maneira é definir um novo grupo contendo membros que você considera administradores dessa pasta. Se você tiver um domínio do AD, poderá criar esse grupo no AD e adicioná-lo ao grupo Administradores (da máquina local) e evitar a administração de dois grupos.

Nota: Se você estiver tentando isso localmente, lembre-se de que precisa fazer logoff e logon novamente para que as novas permissões entrem em vigor.

Existem duas opções para contornar essa limitação facilmente:

• Use um gerenciador de arquivos de sua escolha (comandante total, por exemplo) e execute-o como administrador (preferencial)
• Desative a restrição do UAC do explorador: http://www.msfn.org/board/topic/144776-unable-to-open-an-elevated-windows-explorer-window/

Conceda permissão de Leitura / Execução na raiz da unidade, o principal interno chamado "Interativo". Então, nenhuma alteração no UAC é necessária.

Dessa forma, as pessoas conectadas à área de trabalho remotamente ou "localmente" (console da VM ou tela e teclado físicos) ainda podem procurar arquivos e executar programas, mesmo com o UAC ativado.

Por exemplo, você pode remover a permissão padrão "Os usuários podem ler e criar tudo a partir da raiz" para bloquear o servidor de maneira sensata, mas evita a incapacidade de efetuar logon, procurar arquivos e navegar para onde deseja alterar as configurações como administrador.

Assim que você abre a caixa de diálogo de segurança e deseja alterar as permissões, um botão aparece para alterar as configurações como administrador. Então você obtém o melhor dos dois mundos:

1. Nenhuma restrição à navegação "local" do administrador / operador na estrutura e no conteúdo dos discos.
2. Proteção contra alterações por não administradores.

A única diferença para as permissões padrão é que não estamos dizendo que apenas as contas "Usuários" locais podem ler tudo, mas apenas as pessoas concederam acesso ao console do Windows, ou seja, logicamente significa acesso ao servidor "físico" (ou virtual) "interativo" , que não é concedido apenas a ninguém. Isso pode não funcionar para servidores de terminal, a menos que haja uma maneira melhor de distinguir entre esses tipos de sessões (sugerimos editar se você souber disso).

Obviamente, o primeiro conselho é usar o núcleo do servidor / administrador remoto sempre que possível. Mas, quando não, isso ajuda a evitar o efeito final comum de que um servidor em que as permissões de usuário padrão sejam removidas, com dezenas de permissões de conta de usuário pessoal aplicadas em todo o lugar. E não é realmente culpa do administrador, eles estão apenas tentando fazer seu trabalho com ferramentas padrão sem nenhuma complexidade especial (basta usar o File Explorer normalmente).

Outro efeito positivo dessa solução é poder bloquear as permissões da unidade raiz e ainda ter o servidor "utilizável" para o administrador conectado à área de trabalho; a necessidade de desativar a herança para remover permissões indesejadas de cima geralmente desaparece. O fato de todos os usuários poderem ler e criar o que quiserem abaixo do caminho compartilhado por padrão é um motivo comum para desativar a herança quando ninguém deseja lidar com a causa "raiz" ;-)

não pode abrir a pasta no Explorer porque "você não tem permissão".

Suspeito que isso ocorra porque os processos normais não têm o token de permissão de administrador por causa do UAC, a menos que você também 'execute como administrador'. Mas não posso fazer isso no Windows Explorer, posso?

Sim, você PODE executar o Explorer com privilégios elevados para resolver seu problema!

Para fazer isso, você deve:

• aberto Task Manager
  • Vá para a Detailsguia
  • Mate a " Explorer.exe" execução existente como seu usuário.
    • Nota: o menu iniciar, as pastas etc. desaparecerão, isso é normal
  • Clique File
  • Selecione " Start New Process"
    • Isso exibe uma caixa de diálogo "Criar nova tarefa".
  • Digite Explorer.exeno menu suspenso "Abrir:".
  • Marque CheckboxAvançar para " Run task with administrative privileges"
  • Clique OK
    • Se o prompt de elevação aparecer, clique em accept.

Voila!

O menu Iniciar é exibido novamente e o Windows Explorer é Elevado!

Agora você está executando o Explorer como um processo elevado, para que todas as ações do explorador que requeiram elevação funcionem sem a necessidade de elevar a cada vez.

Portanto, você pode excluir uma pasta ou percorrer uma pasta ou verificar permissões ou ler um arquivo sem precisar executar uma tarefa elevada para cada ação individual.

Eu me deparei com isso porque usamos o modo de aprovação do administrador para elevar sem avisar, no entanto, para excluir pastas e arquivos e às vezes para acessá-los, isso está causando problemas quando o usuário é membro do grupo do administrador local, em vez de ter permissões expressas, elevando O Explorer resolveu esse problema.