L'utente nel gruppo di amministratori di dominio non può accedere alla directory a cui il gruppo ha l'autorizzazione ad accedere

Ho riscontrato un problema piuttosto interessante giocando con uno dei miei laboratori di dominio.

Esiste una directory su un file server 2008 R2 che viene utilizzata per il reindirizzamento delle cartelle per tutti gli utenti nell'unità organizzativa "Staff". La directory ha le seguenti autorizzazioni impostate:

FILESERVER \ Administrators: consente il pieno controllo della directory, delle sottodirectory e dei file
DOMAIN \ Domain Admins: consente il pieno controllo della directory, delle sottodirectory e dei file
Utenti autenticati: consente di creare file, creare cartelle, scrivere attributi e scrivere attributi estesi solo nella directory principale

Inoltre, la directory è anche una condivisione di rete con "Consenti controllo completo" al gruppo Utenti autenticati.

Quando l'utente john.doe, un membro del gruppo amministratori di dominio, tenta di accedere alla directory dal file server, viene visualizzato l'errore "Attualmente non si dispone dell'autorizzazione per accedere a questa cartella". Il tentativo di accedere alla condivisione di rete dallo stesso server comporta anche un errore di autorizzazione negata (sebbene l'utente possa comunque accedere alla propria directory all'interno della condivisione).

L'accesso alla condivisione da un altro computer connesso come lo stesso utente consente l'accesso come configurato.

L'unico modo per accedere ai file nella directory durante l'accesso al file server è aprire un prompt dei comandi con privilegi elevati. Controllo dell'account utente è disabilitato per tutti i computer nel dominio tramite Criteri di gruppo (Esegui tutti gli amministratori in modalità Approvazione amministratore abilitata e il comportamento predefinito impostato su eleva senza richiedere conferma).

Tutte le strade indicano all'utente l'accesso, ma viene comunque negato. Qualche idea?

windows active-directory permissions

— EnglishInfix
fonte

Vi sono ACE Negati nell'ACL?

— Shane Madden

Non esistono autorizzazioni di rifiuto impostate nell'ACL per la directory per qualsiasi gruppo o utente.

— EnglishInfix,

Risposte:

Questo è di progettazione. Controllo dell'account utente elimina le credenziali di amministratore da qualsiasi processo non elevato. Se si sta tentando di utilizzare un processo non elevato per accedere a una condivisione remota utilizzando solo le credenziali di amministratore, UAC eliminerà le credenziali di amministratore dal token di sicurezza del processo e il processo riceverà un errore di "accesso negato".

Per porre rimedio a questo è possibile:

Non utilizzare le credenziali di amministratore per proteggere la cartella (creare un gruppo generico solo per questo scopo) o
Disabilitare UAC sul fileserver (non consigliato) o
Abilitare la seguente chiave di registro sul file server per disabilitare solo questa parte di Controllo dell'account utente.

Ulteriori informazioni: Descrizione del controllo dell'account utente e restrizioni remote in Windows Vista

— John Homer
fonte

Quindi ho appena notato che è dello scorso maggio. Non sono sicuro del motivo per cui è apparso nel mio feed RSS questa mattina ...

— John Homer,

John, sono felice di alterare la mia risposta e votarti, ma volevo esserne sicuro. L'articolo della KB recita "strano", sotto la Domain user accountssezione, come se non avesse alcuna rilevanza. L'OP ha dichiarato di trovarsi sul file server per accedere alle unità locali e al percorso UNC direttamente dal server. Non ho un modo rapido (ma potrebbe, se necessario) testare la regkey, ma chiedo solo se sei sicuro che questo risolverà il problema esattamente come descritto dall'OP e non solo per l'accesso remoto al percorso UNC?

— TheCleaner,

Ho riscontrato questo problema numerose volte. L'accesso a una condivisione locale è lo stesso processo di una condivisione remota. Utilizza ancora il redirector UNC per accedere alla cartella e sarebbe soggetto allo stesso comportamento. Immagino che la macchina remota fosse una versione precedente (non UAC) di Windows. Sfortunatamente, OP non ha fornito tali informazioni. Basandomi solo sulle informazioni che ha fornito (in particolare la necessità di elevare affinché funzioni correttamente), mi fa credere che questo sia il problema.

— John Homer,

Sì, ho capito, ma ha dichiarato di aver provato prima l'unità locale (nessuna condivisione) e poi la condivisione UNC. Ma sto divagando ... Alterò il mio post e valuterò il tuo ... Non ho motivo di non fidarmi della tua risposta.

— TheCleaner,

La chiave di registro NON ha funzionato per me, anche dopo il riavvio. Anche la disattivazione di UAC non ha funzionato. Solo il gruppo generico ha lavorato per me.

— skinneejoe,

Controllo account utente sta rimuovendo le credenziali di amministratore di dominio sul server stesso, fa parte del modo in cui funziona UAC (stupidamente IMO). Un'opzione è disabilitare UAC sul server completamente per non ricevere il prompt "Attualmente non disponi delle autorizzazioni per accedere a questa cartella".

EDIT: ecco un esempio di thread tra: http://social.technet.microsoft.com/Forums/en-US/winservergen/thread/9061bc1c-42ea-47ed-8c7d-56b07139fb86/

EDIT2: La risposta di John qui sotto potrebbe essere esattamente quello che stai cercando però. Provalo e segnala se puoi.

— TheCleaner
fonte

Un'altra opzione sarebbe quella di aggiungere un ACL alla cartella per un altro gruppo di cui l'utente è membro, con le autorizzazioni appropriate.

— Greg Askew,

Mi dispiace TheCleaner, ma non sei corretto. Non è necessario disabilitare l'UAC per farlo funzionare. Esiste una chiave di registro (LocalAccountTokenFilterPolicy) che disabilita solo questa parte di Controllo dell'account utente. Maggiori informazioni qui: support.microsoft.com/kb/951016

— John Homer,

@JohnHomer - vedi il mio commento nella tua risposta. Modificherò la mia risposta come una possibilità, ma sottolineo e valuterò anche la tua, se sei sicuro che l'articolo KB si applica ai problemi dell'unità locale del server e che l'OP ha descritto.

— TheCleaner,

-1

Il modo migliore è cambiare la chiave di registro in

registry::HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\policies\system; key = EnableLUA

Assicurarsi che sia impostato su Valore 0 per disabilitare
È necessario riavviare per rendere effettivo.
L'interfaccia potrebbe mostrarlo come disabilitato mentre il registro è abilitato

— Ben
fonte

Le chiavi delle politiche non dovrebbero essere impostate manualmente. Sono utilizzati dalla gestione dei criteri di gruppo per memorizzare le impostazioni. Ulteriori informazioni: technet.microsoft.com/en-us/library/cc962657.aspx

— John Homer,