NTFS - Quản trị viên tên miền không có quyền mặc dù là một phần của nhóm Quản trị viên cục bộ

Theo nhân viên "Thực tiễn tốt nhất" trong bộ phận CNTT của chúng tôi có hai tài khoản. Tài khoản không có đặc quyền và tài khoản là thành viên của nhóm Quản trị viên tên miền toàn cầu ($ DOMAIN \ Quản trị viên tên miền). Trên các máy chủ tệp của chúng tôi, nhóm Quản trị viên tên miền được thêm vào nhóm Quản trị viên cục bộ ($ SERVER \ Quản trị viên). Nhóm Quản trị viên cục bộ có Toàn quyền được cấp trên các thư mục này. Khá chuẩn.

Tuy nhiên, nếu tôi đăng nhập vào máy chủ bằng tài khoản Quản trị viên tên miền của mình để truy cập vào thư mục đó, tôi cần phê duyệt lời nhắc UAC có nội dung: "Bạn hiện không có quyền truy cập vào thư mục này. Nhấp vào để tiếp tục truy cập vĩnh viễn vào thư mục này. " Nhấp vào tiếp tục cung cấp quyền tài khoản Quản trị viên tên miền của tôi trên thư mục đó và mọi thứ khác bên dưới mặc dù $ SERVER \ Quản trị viên (trong đó tôi là thành viên thông qua nhóm Quản trị viên tên miền) đã có Kiểm soát hoàn toàn.

Ai đó có thể giải thích hành vi này không và cách thích hợp để quản lý quyền NTFS cho chia sẻ tệp có liên quan đến quyền Quản trị với Server 2008 R2 và UAC không?

Đúng, UAC được kích hoạt khi một chương trình yêu cầu đặc quyền của quản trị viên. Chẳng hạn như Explorer, yêu cầu đặc quyền của quản trị viên, vì đó là những gì mà các ACL NTFS trên các tệp và thư mục đó yêu cầu.

Bạn có bốn lựa chọn tôi biết.

1. Vô hiệu hóa UAC trên máy chủ của bạn.

   • Dù sao tôi cũng làm điều này (trong trường hợp chung) và sẽ lập luận rằng nếu bạn cần UAC trên máy chủ, có lẽ bạn đã làm sai, vì nói chung, chỉ quản trị viên mới nên đăng nhập vào máy chủ và họ nên biết họ đang làm gì đang làm.
     
     

2. Quản lý các quyền từ một giao diện nâng cao

   • cmdCửa sổ nâng cao , PScửa sổ hoặc phiên bản Explorer đều hoạt động để tránh cửa sổ bật lên UAC. ( Run As Administrator)
     
     

3. Quản lý quyền NTFS từ xa

   • Kết nối qua UNC từ một máy không bật UAC.
     
     

4. Tạo một nhóm không quản trị bổ sung có quyền truy cập đầy đủ trong ACL NTFS cho tất cả các tệp và thư mục bạn muốn thao tác và gán quản trị viên của mình cho nhóm đó.

   • Cửa sổ bật lên UAC sẽ không (không nên) được kích hoạt, vì Explorer sẽ không còn yêu cầu đặc quyền Quản trị nữa, vì quyền truy cập vào các tệp được cấp thông qua một nhóm phi hành chính khác.

Cách tốt nhất là thay đổi khoá đăng ký tại

đăng ký :: HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion \ chính sách \ system; khóa = EnableLUA

Đảm bảo rằng nó được đặt thành Giá trị 0 để tắt nó. Bạn cần khởi động lại để làm cho nó có hiệu lực. Giao diện có thể hiển thị nó như bị vô hiệu hóa trong khi đăng ký được kích hoạt.

Đặt cả hai chính sách này cho các thành viên của nhóm Quản trị viên cục bộ để có thể thay đổi tệp và kết nối với chia sẻ của quản trị viên:

Khởi động lại sẽ được yêu cầu sau khi thực hiện những thay đổi này.

Bạn cũng có thể tắt chế độ Phê duyệt của quản trị viên cho quản trị viên thông qua GPO hoặc trong Chính sách bảo mật cục bộ.

Chính sách bảo mật cục bộ \ Cài đặt bảo mật \ Chính sách cục bộ \ Tùy chọn bảo mật \ Kiểm soát tài khoản người dùng: Chạy tất cả quản trị viên ở Chế độ phê duyệt của quản trị viên - Đã tắt