Tạo tệp chia sẻ "Chia sẻ" trên một thư mục ngay dưới ổ cứng (hãy gọi nó là E:) trong hộp Windows Server 2016.
Máy chủ là một phần của tên miền "domain.com".
Quyền chia sẻ - Mọi người: Kiểm soát hoàn toàn.
Quyền NTFS - Để lại quyền mặc định
(Có nghĩa là nó có các mục dành cho HỆ THỐNG, CHỦ SỞ HỮU TẠO, Quản trị viên.
Tôi cũng đã thêm quản trị viên miền, điều này sẽ không liên quan đến những gì tiếp theo.)
2 thư mục con của chia sẻ đó,
share1 - Đã thêm quyền NTFS: [email protected] (toàn quyền kiểm soát)
share2 - Đã thêm quyền NTFS: [email protected] (toàn quyền kiểm soát).
user1 và user2 là những người dùng không có đặc quyền.
Điều tôi mong đợi trong thiết lập đó là người dùng 1 có thể xem, chỉnh sửa, sửa đổi mọi thứ trong share1, nhưng anh ta không thể xem hoặc thậm chí liệt kê các mục trong share2, càng không thể chỉnh sửa chúng.
Và tương đương với user2.
Tuy nhiên, điều KHÔNG xảy ra là cả user1 và user2 đều có thể xem và đọc mọi thư mục và tệp trong cả share1 và share2. Họ không thể sửa đổi các tập tin, nhưng họ có thể đọc chúng. Tuy nhiên, tôi chưa bao giờ đặt bất kỳ sự cho phép nào để họ làm như vậy. Tôi không muốn họ đọc tệp hoặc thậm chí có thể liệt kê chúng.
Nếu tôi chạy "Truy cập hiệu quả" từ tab Nâng cao trong cửa sổ Bảo mật, điều này sẽ đưa ra hình ảnh chính xác như vậy. Nó cấm sửa đổi nhưng không được Đọc.
Điều tôi nhận thấy là các quyền mặc định cho ổ cứng E: chính nó bao gồm các mục dành cho người dùng ĐỊA PHƯƠNG:
tên máy chủ\Người dùng
Và họ có quyền đọc/ghi và liệt kê, v.v. Và chúng kế thừa mọi thư mục con bao gồm share1 và share2
Khi tôi thay đổi quyền của những người dùng cục bộ này trực tiếp trên ổ cứng thành "chỉ thư mục này", thì các quyền đó không còn được kế thừa trên tất cả các thư mục con.
VÀ SAU ĐÓ SỰ CHIA SẺ HOẠT ĐỘNG NHƯ TÔI ĐÃ MONG ĐỢI:
- Người dùng 1 có thể xem/chỉnh sửa tệp trong share1 nhưng không thể xem share2.
- User2 có thể xem/chỉnh sửa tệp trong share2 nhưng không thể xem share1.
Vì vậy, sau phần giới thiệu dài này, đây là câu hỏi của tôi:
Tại sao tài khoản người dùng ĐỊA PHƯƠNG đó bằng cách nào đó can thiệp vào quyền của người dùng miền được đặt tên cụ thể?
Như thể người dùng miền được "ánh xạ" tới nhóm người dùng cục bộ "tên máy chủ\Người dùng", nhưng điều này có ý nghĩa gì không? Hay có điều gì khác đang xảy ra ở đây?
