» Настройка "хитрожёлтых" разрешений NTFS

Добрый день, господа. Есть такая задача: надо сделать папку "Проекты" на сетевом ресурсе и дать возможность всем создавать внутри этой папки всё. Но при этом сделать так, чтобы все, кроме администраторов не могли эту самую папку удалить. И при попытке удалить папку не удалялось бы всё её содержимое.

Вкладка Security - Дополнительно. Все параметры там есть.

С соседнего форума:

Открываем папку "Проекты";
Идём в меню “Сервис / Свойства папки...”;
Открываем вкладку “Вид”, снимаем галочку “Использовать простой общий доступ к файлам (рекомендуется)”, нажимаем кнопку “Применить” и закрываем окно;
Теперь открываем свойства нужной нам папки (к которой нету доступа) – нажимаем правую кнопку мыши на папке и выбираем “Свойства” в выпадающем меню. Появилась вкладка “Безопасность”. Открываем её. Жмём кнопку “Дополнительно” и далее выставляем всем пользователям разрешения так, как нам нужно.
"Применить".

KocmonpaB
magazinus

Это все хорошо, но загвоздка в том, как задать такие разрешения, чтобы создать папку (или файл) юзер мог, а удалить - нет? Можно убрать возможность непосредственного удаления созданного каталога (разрешить создавать, но не разрешать удалять). Но опытный пользователь, являясь владельцем созданного им каталога, с легкостью установит такие разрешения, которые ему нужны, в том числе и разрешение удаления этого каталога. Думается мне, штатными средствами Windows задуманного PIL123 сделать не удасться.

veryom
Заьрать право устанавливать владение, установить нового владельца...

veryom
Ты не внимательно читаешь:

Цитата:

надо сделать папку "Проекты" на сетевом ресурсе и дать возможность всем создавать внутри этой папки всё. Но при этом сделать так, чтобы все, кроме администраторов не могли эту самую папку удалить.

Т.е. владельцем "Проектов" будет только администратор, для всех остальных будет что-то вроде:


Т.е. чужие папки никто кроме админа удалить не сможет, при этом создавать может все, что угодно. Что и требовалось решить.

FreemanRU

Цитата:

Заьрать право устанавливать владение, установить нового владельца...

А как забрать право устанавливать владение? Не становится ли каждый пользователь, создающий файл, владельцем этого файла автоматом? Или можно сделать так, чтобы владельцем созданного файла был не создатель? Или ты имеешь в виду, что нужно ручками забирать владение у каждого файла и устанавливать нужное?


magazinus

Цитата:

Ты не внимательно читаешь

Может быть. Но, коллеги, давайте выйдем немного за узкие рамки, установленные создателем топика. Как решить ту задачу, которую поставил я, без привлечения стороннего ПО, т.е. штатными средствами ОС Windows?

Может я не понятно описал задачу - второй день из отпуска уж извините. Да ещё и простудиться как-то умудрился при жаре за 30 в Ростове-Папе. Попробую заново описать задачу:
Будет определённая файловая структра, подключаемая в виде сетевого диска пользователям, частью которой будет папка "Проекты". Так вот мне надо, чтобы структура, в том числе и эта папка, были незыблимыми для пользователей, т.е. без возможности удаления. Однако в этот самый момент любой пользователь мог бы в этой папке иметь полный доступ на любые файлы/папки (в том числе и удаление). И это я реализовал экспериментальным путём, выдвая разрешения внутри этой самой папки, но применяя её к разным объектам (This folder only = Стандартное чтение и выполнение + Create Files/Write Data + Create Folders/Append Data; Subfoldres and Files Only = Full Control). Теперь казалось бы всё ОК и задача реализована, НО, если пользователь пытается удалить папку "Проекты", то папка, как и ожидалось, не удаляется, а вот всё содержимое - удаляется. Как бы вот так сделать, чтобы больной или уставший пользователь не грохнул случайно всю информацию в папке, пытаясь удалить саму папку, в горячке такое возможно ?

veryom, Вы меня конечно простите, но давайте пока не будем выходить из тех узких рамок которые задал я, по крайней мере, пока не ответим собственно на вопрос моего топика. Кстати, ковыряясь со своей проблемой мне удалось реализовать то, о чём Вы писали. Только я тогда не заострил на этом внимания. Как нибудь вспомню - напишу как делать!

PIL123

Цитата:

Subfoldres and Files Only = Full Control

Вот этого не надо. Назначь разрешение на изменение только группе "СОЗДАТЕЛЬ-ВЛАДЕЛЕЦ".

veryom

Цитата:

Создатель и так сможет удалить созданную им папку/файл.

Мне не надо, чтобы только владелец мог удалять. Мне надо чтобы все. Ну или не все, а только опр. группа. В том числе и создатель/владелец. Однако вопрос мой не в этом сейчас, к сожалению.

PIL123

Цитата:

Кстати, ковыряясь со своей проблемой мне удалось реализовать то, о чём Вы писали. Только я тогда не заострил на этом внимания. Как нибудь вспомню - напишу как делать!

Очень хотелось бы услышать. Жду с нетерпением.

Нужно к Full Control для "Проекты" добавить галку "Удаление подпапок и файлов", как показано выше на скрине, при этом включить наследование для объектов (также показано на скрине). Тогда будет полный доступ у пользователей, но содержимое папки "Проекты" удалятся не будет.

Цитата:

Мне не надо, чтобы только владелец мог удалять. Мне надо чтобы все.

А что помешает пользователю выделить все файлы и каталоги в каталоге "Проекты" и удалить, если разрешено удалять всем?


Цитата:

Однако вопрос мой не в этом сейчас, к сожалению.

А в чем? Ты хочешь, чтобы пользователи не смогли удалять каталог "Проекты", но имели бы возможность удалять все внутри этого каталога, в том числе и созданное другими пользователями. Так?

Цитата:

Или можно сделать так, чтобы владельцем созданного файла был не создатель? Или ты имеешь в виду, что нужно ручками забирать владение у каждого файла и устанавливать нужное?

Эта задача решается так, как сказал FreemanRU и так, как я показал на скрине. Владелец не сможет удалить свой файл и сменить разрешения/владельца. Что мешает попробовать? Ведь это не займет больше 5 минут...

magazinus, простите, не совсем понятно: Full Control как бы и так подразумевает наличие всех стоящих галок.

PIL123
Ты хочешь и рыбку съесть и на палочке покататься. Если ты даешь пользователям право удалять внутри каталога всё, то галка "Удаление подпапок и файлов" - это только как защита от дурака, удалить все равно смогут просто зайдя в папку. Поэтому здесь лучшим вариантом было бы дать удалять только то, что владельцем чего является сам пользователь.

magazinus

По скрину: ты пробовал создать файл в каталоге, с указанными тобой разрешениями?

Цитата:

magazinus, простите, не совсем понятно: Full Control как бы и так подразумевает наличие всех стоящих галок.

Приглядись к скрину... Там же видно, в какую колонку я поставил галку "Удаление подпапок и файлов". Это не дефолтовые галки.

veryom

Цитата:

А что помешает пользователю выделить все файлы и каталоги в каталоге "Проекты" и удалить, если разрешено удалять всем?

Абсолютно ничего - таким образом пользователь должен мочь всё удалять. Дело в том, что удалить всё, удалением одной папки гораздо проще, чем всё выделять и только тогда удалять - минимизация вероятности ошибки. Чисто механически гораздо сложнее выделить все файлы и потом удалить их, нежели грохнуть случайно папку "Проекты" и соответственно всё содержимое.

magazinus

Цитата:

Эта задача решается так, как сказал FreemanRU и так, как я показал на скрине. Владелец не сможет удалить свой файл и сменить разрешения/владельца. Что мешает попробовать? Ведь это не займет больше 5 минут...

Шутишь? Владелец удалить его сможет, предварительно установив разрешение "Full Control" на каталог или файл. Попробуй, это ведь займет не больше 5 минут...

veryom
Да. Конечно, он не даст его даже переименовать, но я же написал "что-то вроде", т.к. показал основное - что владелец свой файл удалить не сможет...

magazinus, veryom, парни Вы меня извините, но мне как-бы не до владельца (фиг бы с ним). Мне бы хоть решить задачу для всех.

PIL123

Ну так на твой вопрос ответили: пользователи - чтение, создатель - изменение, админы - все права. Все. Представь, что Вася, злой за что-то не Петю, удалит его очень важный файлик. Это, конечно, можно отследить, но важно-то предотвратить.

PIL123
Ну так я же тебе и пишу под конкретно твою задачу. veryom'у надо отдельный топ создать, а то здесь он больше путает, чем советует.
Добавляешь в группу всех пользователей, которые работают с папкой "Проекты" и ставишь им фулл контрол и галку "Удаление подпапок и файлов" в Запрещено. Тогда при попытке удалить папку Проекты, подпапки удалятся не будут. Но из самой папки каждый пользователь сможет удалить все, что угодно.
Если я правильно понял, то это и требовалось.

magazinus

Цитата:

здесь он больше путает, чем советует.

Каков же будет ответ на мой вопрос: http://forum.ru-board.com/topic.cgi?forum=8&bm=1&topic=22856&start=20

Добавлено:
magazinus

Цитата:

Добавляешь в группу всех пользователей, которые работают с папкой "Проекты" и ставишь им фулл контрол и галку "Удаление подпапок и файлов" в Запрещено. Тогда при попытке удалить папку Проекты, подпапки удалятся не будут. Но из самой папки каждый пользователь сможет удалить все, что угодно.

Ой-ли. А сам пробовал сделать такое? Сможет ли пользователь удалить все, что угодно?

veryom
Щас перечитал все и понял, что твой вопрос состоит в том, как владельцу файла/папки запретить для самого себя любой доступ к этому файлу/папке. Вопрос в этом состоит?

Добавлено:

Цитата:

Сможет ли пользователь удалить все, что угодно?

Сможет. Если наследование не включать.
Так ты может по делу что-нибудь предложишь?

После одного случая, когда уволили девочку и она стерла все свои файлы, а так как она была дизайнером и за время работы на предприятии все её работы являются собственностью предприятия, можно сказать, что она украла интеллектуальную собственность, так как в будущем видать хотела использовать наработки.
Я поставил Undelete Server и не волнуюсь теперь, если пользователь стирает файлы, то они попадают в корзину Undelete

magazinus

Цитата:

Щас перечитал все и понял, что твой вопрос состоит в том, как владельцу файла/папки запретить для самого себя любой доступ к этому файлу/папке. Вопрос в этом состоит?

Задача (скорее теоретическая): Есть каталог. Юзер может создавать и редактировать свои документы в этом каталоге. Но, удалять их он не может. Возможно?



P.S. Пристал я, как банный лист к ж... попе Если что - я не со зла.

У нас тоже подобный случай был. Давно правда. Отказались от общих папок - перешли на Sharepoint.

Добавлено:

Цитата:

Задача (скорее теоретическая): Есть каталог. Юзер может создавать и редактировать свои документы в этом каталоге. Но, удалять их он не может. Возможно?

Без вмешательства админа (хотя бы скриптом) - я думаю, что это невозможно, т.к. в винде креатор = владелец и как ни крути, при определенных навыках, он может делать все, что угодно со своими файлами.

Цитата:

P.S. Пристал я, как банный лист к ж... попе Если что - я не со зла.

Я просто не сразу понял, зачем это. Но, обычно, если это какая-нибудь общая БД, то права на файл принадлежат админу, а не бухгалтерам и прочим дизайнерам. Так безопаснее.

magazinus

Цитата:

Сможет. Если наследование не включать.

Подробней.


Цитата:

Так ты может по делу что-нибудь предложишь?

По делу я сказал уже давно, не понимаю мучений PIL123. Ты последний пост предыдущей станицы глянь-ко.

Добавлено:
magazinus

Цитата:

просто не сразу понял, зачем это. Но, обычно, если это какая-нибудь общая БД, то права на файл принадлежат админу, а не бухгалтерам и прочим дизайнерам.

Да это так. Вообще-то мне и незачем . Теоретические рассуждения. Кстати, в *nix-ах, если не ошибаюсь, поставленная мной задача решается на раз.

Добавлено:

Цитата:

Без вмешательства админа (хотя бы скриптом) - я думаю, что это невозможно, т.к. в винде креатор = владелец и как ни крути, при определенных навыках, он может делать все, что угодно со своими файлами.

В том-то все и дело. Штатными средствами Windows не справиться. Придется в любом случае ставить внешний софт, как сделал rijk