System nie zapisuje uprawnień NTFS po udostępnieniu

System niezapisujący uprawnień NTFS po udostępnieniu wskazuje na konflikt uprawnień dziedziczonych z folderu nadrzędnego.

Dlaczego udostępnienie nie zmienia uprawnień NTFS

Uprawnienia NTFS są zapisane na obiekcie systemu plików, czyli na pliku albo folderze znajdującym się na woluminie sformatowanym w systemie NTFS. Udostępnienie folderu w sieci tworzy dodatkową warstwę kontroli dostępu, ale samo w sobie nie powinno usuwać ani zastępować wpisów zapisanych na liście kontroli dostępu NTFS. Przy dostępie przez sieć system Windows bierze pod uwagę jednocześnie uprawnienia udziału oraz uprawnienia NTFS. Ostateczny dostęp jest ograniczany przez bardziej restrykcyjne ustawienie.

Wrażenie, że system nie zapisuje uprawnień po udostępnieniu, może wynikać z dziedziczenia. Folder może otrzymywać wpisy kontroli dostępu z folderu nadrzędnego, a część tych wpisów jest oznaczona jako dziedziczona. Zmiana wykonana na poziomie podrzędnego folderu nie zawsze usuwa dziedziczone reguły. Jeżeli system wykryje konflikt pomiędzy regułami odziedziczonymi a próbą ustawienia nowych uprawnień, może zaproponować zastosowanie zmiany tylko do bieżącego folderu albo także do jego podfolderów i plików.

Różnica między uprawnieniami udziału a ACL NTFS

Uprawnienia udziału obowiązują podczas korzystania z folderu przez ścieżkę sieciową, na przykład w postaci \\nazwa-komputera\udzial. Uprawnienia NTFS są związane z lokalizacją na woluminie i obowiązują zarówno przy dostępie lokalnym, jak i sieciowym. Z tego powodu przy analizie problemu trzeba ustalić, czy zmiana została wykonana na karcie udostępniania, czy na karcie zabezpieczeń. Są to odrębne listy reguł, nawet jeśli interfejs systemu prezentuje je w tym samym oknie właściwości folderu.

Wpis na liście ACL określa między innymi konto lub grupę, rodzaj dostępu oraz zakres stosowania reguły. Uprawnienie może dotyczyć tylko folderu, folderów i plików znajdujących się niżej albo samych plików. Znaczenie mają również reguły zezwalające i odmawiające. Jawne uprawnienie ustawione bezpośrednio na folderze ma inną podstawę niż wpis odziedziczony z folderu nadrzędnego. Dodatkowo członkostwo użytkownika w kilku grupach może powodować połączenie wielu wpisów podczas obliczania uprawnień efektywnych. Sama obecność nazwy konta na liście nie przesądza więc jeszcze o faktycznym zakresie dostępu.

Sprawdzenie dziedziczenia i zapisania reguł

Pierwszym krokiem jest otwarcie właściwości folderu, przejście do karty Zabezpieczenia i wybranie ustawień zaawansowanych. W tym miejscu można sprawdzić, czy wpisy pochodzą z folderu nadrzędnego, jaki mają zakres oraz czy dziedziczenie jest włączone. Jeżeli problem dotyczy konkretnego podfolderu, należy porównać jego listę ACL z listą folderu nadrzędnego. Istotne jest także sprawdzenie właściciela obiektu, ponieważ tylko konto posiadające odpowiednie uprawnienia, właściciel albo administrator działający z właściwym podniesieniem uprawnień może zmieniać wszystkie elementy zabezpieczeń.

Do weryfikacji można użyć wiersza polecenia uruchomionego z odpowiednimi uprawnieniami. Polecenie icacls "C:\ścieżka\folderu" wyświetla wpisy ACL, a przełącznik /inheritance:e włącza dziedziczenie, /inheritance:d wyłącza je z zachowaniem skopiowanych wpisów, natomiast /inheritance:r usuwa dziedziczone wpisy. Te operacje zmieniają rzeczywistą listę kontroli dostępu, dlatego powinny być wykonywane dopiero po zapisaniu jej bieżącego stanu i ustaleniu oczekiwanego zakresu. Warto też sprawdzić, czy folder nie znajduje się na woluminie innym niż NTFS, ponieważ uprawnienia NTFS nie występują na systemach plików, które nie obsługują tego mechanizmu.

Postępowanie przy niespójnej konfiguracji folderu

Bezpieczna diagnostyka polega na rozdzieleniu problemu na trzy pytania: czy reguła została dodana do właściwego folderu, czy nie została później nadpisana przez dziedziczenie oraz czy test wykonywany jest lokalnie, czy przez udział sieciowy. Należy również użyć tego samego konta, którego dotyczy zgłaszany problem, ponieważ administrator, zwykły użytkownik i członek określonej grupy mogą otrzymać różne uprawnienia efektywne. Jeżeli zmiana znika po zamknięciu okna, trzeba sprawdzić, czy została zatwierdzona przyciskiem zastosowania oraz czy system nie odrzucił jej z powodu braku uprawnień do modyfikacji ACL.

Przy porządkowaniu konfiguracji warto ograniczyć liczbę ręcznie dodawanych wpisów i ustalić, które reguły mają być dziedziczone, a które mają obowiązywać wyłącznie na konkretnym folderze. Test powinien obejmować odczyt, zapis, tworzenie pliku i wejście do podfolderu, ponieważ uprawnienia odczytu nie są równoznaczne z prawem modyfikacji. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką problemów z systemem Windows, dostępem do plików oraz konfiguracją uprawnień na komputerze użytkownika.