Come posso consentire agli amministratori di accedere a una cartella senza distruggere le autorizzazioni correnti?

Ho una cartella a cui non posso accedere da un account che fa parte del gruppo Administrators su Windows 7.

Se visualizzo la scheda Sicurezza nelle proprietà, vedo "Non hai i permessi per visualizzare o modificare le impostazioni dei permessi di questo oggetto".

Se faccio clic su Avanzate e vado alla scheda del proprietario, mi dice che è "Impossibile visualizzare l'attuale proprietario".

Posso accedere alla cartella riassegnando la proprietà, ma ciò distrugge le autorizzazioni correnti sulla cartella.

Quindi, c'è un modo per dare agli amministratori l'accesso alla cartella senza prendere il controllo e distruggere le autorizzazioni correnti.

Alcune ricerche approfondite rivelano che l'assunzione della proprietà a volte distrugge le autorizzazioni esistenti ea volte no. Tutto sembra dipendere dal fatto che tu provi a farlo in modo ricorsivo . Nota che Windows ti avvisa quando sta per sostituire le autorizzazioni esistenti, ma (almeno nella GUI) è molto semplice semplicemente OK il messaggio senza leggerlo o comprenderlo completamente.

Per vederlo, avrai bisogno di una directory (c: \ SomeFolder in questo esempio) che è di proprietà di un altro account utente e a cui tu e il gruppo amministratori avete accesso zero.

Riga di comando

Utilizzando lo strumento "takeown" della riga di comando:

TAKEOWN / A / R / F c: \ SomeFolder

dovresti vedere qualcosa del genere

SUCCESSO: il file (o la cartella) "c: \ SomeFolder" è ora di proprietà del gruppo amministratori.

Non hai i permessi per leggere il contenuto della directory "c: \ SomeFolder"

Vuoi sostituire le autorizzazioni della directory con le autorizzazioni che ti garantiscono il pieno controllo ("Y" per YES, "N" per NO, "C" per CANCEL)?

Nota che se rispondi sì qui, significa davvero sostituire le autorizzazioni. Eventuali autorizzazioni esistenti verranno distrutte. Se rispondi no, non hai ancora le autorizzazioni per la cartella ma ora sei il proprietario, quindi puoi concederti le autorizzazioni normalmente e senza distruggere quelle già esistenti.

Se non si specifica il flag ricorsivo (/ R), non si riceve l'avviso e il proprietario viene modificato senza influire su altre autorizzazioni.

GUI

Dovrai utilizzare la scheda "sicurezza" della finestra delle proprietà per modificare qualsiasi cosa tramite la GUI. Questo ti dà due pulsanti: "continua" e "avanzato". Avanzate ti dà una finestra con le quattro schede: "autorizzazioni", "controllo", "proprietario" e "autorizzazioni effettive". Continua ti dà solo la scheda "proprietario".

Se si seleziona un nuovo proprietario e si seleziona la casella "Applica a sottocartelle", premendo OK o Applica si ottiene una finestra di messaggio "Vuoi sostituire i permessi" che, di nuovo, significa davvero sostituire i permessi. Se non selezioni la casella delle sottocartelle, non ricevi l'avviso e tutto si comporta come previsto.

È molto facile non leggere completamente questa finestra di messaggio, supponiamo che sia solo un'altra finestra che ti chiede di confermare qualcosa di non distruttivo e basta premere invio per OK. È anche molto facile supporre che non potrebbero davvero significare sostituire perché nessuno sano di mente vorrebbe mai farlo.

Se non sei elencato come "può leggere / modificare le autorizzazioni" nell'ACL della cartella, non puoi cambiarle, indipendentemente da chi o cosa tu sia. Tutti gli utenti, amministratori, incorporati, anchent authority\system , sono trattati allo stesso modo dal codice di sicurezza. (Il privilegio "Assumi proprietà" a livello di sistema è un'eccezione, ma non può neppure modificare l'ACL, ma solo ripristinarlo.)

È necessario eseguire il login come qualcuno che è autorizzato a fare questo, sia direttamente (username + password) oppure - se avete un sacco di tempo libero - facendo qualche SeCreateTokenPrivilege magia .

È consentito utilizzare la casella di controllo "Sostituisci proprietario su subcontenitori e oggetti" evidenziata in verde. Non è corretto citare in giudizio la casella di controllo "Sostituisci tutte le voci di autorizzazione degli oggetti figlio" evidenziata in rosso. Quest'ultimo sostituirà gli ACL esistenti (permessi) piuttosto che cambiare il proprietario.