Como concedo aos administradores acesso a uma pasta sem destruir as permissões atuais?

Eu tenho uma pasta que não consigo acessar de uma conta que faz parte do grupo Administradores no Windows 7.

Se eu abrir a guia Segurança nas propriedades, vejo "Você não tem permissão para exibir ou editar as configurações de permissão deste objeto".

Se eu clicar em avançado e ir para a guia do proprietário, ele informa que é "Não é possível exibir o proprietário atual".

Eu posso obter acesso à pasta reatribuindo a propriedade, mas isso destrói as permissões atuais na pasta.

Portanto, existe alguma maneira de conceder aos administradores acesso à pasta sem assumir o controle e destruir as permissões atuais.

windows permissions

— Nigel Hawkins
fonte

A posse não destrói (ou pelo menos não deveria) destruir as permissões atuais na pasta. (Eu apenas tentei isso e funcionou como esperado - as permissões não foram alteradas.) Para ficar do lado seguro, você pode preferir usar a ferramenta de linha de comando, takeown, em vez das ferramentas da GUI. Essa ferramenta definitivamente não altera as permissões.

— Harry Johnston

Bem, depois de tomar posse, não consigo ver nenhuma permissão, exceto a conta que acabou de tomar posse. Outras pastas parecem se comportar corretamente. Suponho que seja possível que a pasta tenha sido criada sem permissões para ninguém ou que todos tenham sido removidos, mas parece estranho.

— Nigel Hawkins

O processo de apropriação não deveria ter alterado as permissões, nem mesmo adicionando sua conta. Você usou a ferramenta de linha de comando takeown ou a caixa de diálogo Configurações de segurança avançadas do Explorer?

— Harry Johnston

Tentei nos dois sentidos. Como eu disse, outras pastas parecem se comportar corretamente quando o proprietário é alterado. Cheguei à conclusão de que ele não deve ter permissão para ninguém começar. Por isso, parecia que havia excluído todas as permissões antigas quando assumi a propriedade.

— Nigel Hawkins

Respostas:

Algumas escavações cuidadosas revelam que a apropriação às vezes destrói as permissões existentes e outras não. Tudo parece depender se você tenta e faz isso recursivamente . Observe que o Windows avisa quando ele substituirá as permissões existentes, mas (pelo menos na GUI) é muito fácil apenas OK na mensagem sem ler ou entendê-la completamente.

Para vê-lo, você precisará de um diretório (c: \ SomeFolder neste exemplo) que pertence a uma conta de usuário diferente e à qual você e o grupo de administradores não têm acesso.

Linha de comando

Usando a ferramenta "takeown" da linha de comando:

TAKEOWN / A / R / F c: \ Alguma Pasta

você deve ver algo como

SUCESSO: O arquivo (ou pasta) "c: \ SomeFolder" agora pertence ao grupo de administradores.

Você não tem permissão para ler o conteúdo do diretório "c: \ SomeFolder"

Deseja substituir as permissões do diretório por permissões que concedem controle total ("Y" para SIM, "N" para NÃO, "C" para CANCELAR)?

Observe que, se você responder sim aqui, isso realmente significa substituir as permissões. Quaisquer permissões existentes serão destruídas. Se você responder não, você ainda não tem permissões na pasta, mas agora é o proprietário, portanto, poderá se conceder permissões normalmente e sem destruir as que já existem.

Se você não especificar o sinalizador recursivo (/ R), não receberá o aviso e o proprietário será alterado sem afetar outras permissões.

GUI

Você precisará usar a guia "segurança" da janela de propriedades para alterar qualquer coisa através da GUI. Isso fornece dois botões: "continuar" e "avançado". Avançado fornece uma janela com as quatro guias: "permissões", "auditoria", "proprietário" e "permissões efetivas". Continuar fornece apenas a guia "proprietário".

Se você selecionar um novo proprietário e marcar a caixa "aplicar às subpastas", pressionar OK ou aplicar exibirá a caixa de mensagem "Deseja substituir as permissões" que, novamente, realmente significa substituir permissões. Se você não marcar a caixa de subpastas, não receberá o aviso e tudo se comportará conforme o esperado.

É muito fácil não ler completamente esta caixa de mensagem, suponha que seja apenas outra caixa solicitando que você confirme algo não destrutivo e pressione Enter para OK. Também é muito fácil supor que eles não poderiam realmente significar substituir, porque ninguém sã gostaria de fazer isso.

— Nigel Hawkins
fonte

Se você não estiver listado como "pode ler / alterar permissões" na ACL da pasta, não poderá alterá-las, independentemente de quem ou o que você é. Todos os usuários, administradores, integrados, até nt authority\system, são tratados igualmente pelo código de segurança. (O privilégio "Apropriar-se" em todo o sistema é uma exceção, mas também não pode modificar a ACL, apenas redefini-la.)

Você deve fazer login como alguém que é permitido fazer isso, seja diretamente (nome de usuário + senha) ou - se você tem um monte de tempo livre - fazendo alguma SeCreateTokenPrivilege magia .

— user1686
fonte

Posso adicionar essa permissão ao grupo de administradores?

— Nigel Hawkins

Isso não é verdade. O proprietário de um arquivo sempre pode ler e modificar as permissões, e assumir a propriedade não altera as permissões.

— Harry Johnston

Além disso, observe que um programa em execução como administrador pode ler as permissões e a propriedade de qualquer arquivo usando o privilégio de backup. A Microsoft simplesmente não forneceu nenhum programa para fazer isso. :-(

— Harry Johnston

Ah, e você pode usar o privilégio de restauração para alterar também as permissões e a propriedade.

— Harry Johnston

@rawity: Acabei de repetir o experimento (usando uma ACL que não me concedeu permissão) e a ACL não foi redefinida quando assumi a propriedade. Tem certeza de que não está pensando na caixa de diálogo "Clique em Continuar para obter acesso permanente a esta pasta" do Explorer, em oposição à caixa de diálogo Proprietário da guia Segurança?

— Harry Johnston

Não há problema em usar a caixa de seleção "Substituir proprietário em subcontêineres e objetos" realçada em verde. Não é permitido processar a caixa de seleção "Substituir todas as entradas de permissões de objetos filho" realçada em vermelho. O último substituirá as ACLs existentes (permissões) em vez de apenas alterar o proprietário.

— Iconiu
fonte

Estou assumindo que esta é uma caixa de diálogo do Windows 10? A versão do Windows 7 não tem essa caixa de seleção.

— Nigel Hawkins