Создатель владелец в windows 10

Начало:
1. Windows 10, IIS 10: доступ к файлам, часть 1 (основы, термины)
2. Windows 10, IIS 10: доступ к файлам, часть 2 (архитектура IIS)
3. Windows 10, IIS 10: доступ к файлам, часть 3 (IUSR и IIS_IUSRS)

Как открыть свойства файлов и папок сайта

Очевидно, что менять доступ к папкам и файлам в операционной системе «Windows 10» можно средствами самой операционной системы. Для этого можно открыть свойства нужного ресурса (папки или файла) и найти там вкладку «Безопасность», на которой можно выполнить все нужные действия по изменению доступа, меняя список управления доступом (ACL). Это можно сделать, например, из программы «Проводник Windows».

При работе с веб-сервером IIS удобнее менять доступ к папкам и файлам сайтов, находящихся под управлением веб-сервера IIS, средствами программы «Диспетчер служб IIS». В принципе, это тот же способ, что и в параграфе выше. Для этого сначала следует открыть окно программы «Диспетчер служб IIS» и в древовидном левом меню «Подключения» выбрать нужную ветку. Например, если я хочу изменить доступ к подпапке «wp» сайта «Default Web Site», я выберу ветку этой подпапки:

Картинка с сайта: ilyachalov.livejournal.com

Затем в правом меню «Действия» следует выбрать пункт «Редактировать разрешения…». Этот пункт открывает те же свойства папки, которые можно было бы открыть из программы «Проводник Windows». Однако, если много времени работаете в окне программы «Диспетчер служб IIS», то быстрее это сделать именно из программы «Диспетчер служб IIS», а не открывая отдельно программу «Проводник Windows».

То же самое можно сделать и для конкретных файлов, находящихся в подпапке «wp» сайта «Default Web Site», если в этом возникнет необходимость. Хотя в большинстве случаев мы регулируем доступ в свойствах папок, а эти свойства доступа затем с помощью наследования передаются файлам внутри конкретной папки (при этом следует иметь в виду, что наследование свойств доступа может быть как включено, так и отключено).

Чтобы отрегулировать свойства конкретного файла из подпапки «wp» сайта «Default Web Site», следует в средней части окна программы «Диспетчер служб IIS» переключиться из режима «Просмотр возможностей» в режим «Просмотр содержимого», это можно сделать в средней части окна внизу:

Картинка с сайта: ilyachalov.livejournal.com

На иллюстрации выше видно, что после переключения в режим «Просмотр содержимого» в средней части окна программы «Диспетчер служб IIS» появилось содержимое подпапки «wp» сайта «Default Web Site». Я выбрал в этом списке файл «index.php», после чего в правом меню «Действия» можно нажать пункт «Редактировать разрешения…» и открыть окно свойств файла «index.php».

Вкладка «Безопасность» свойств ресурса, владелец ресурса, временное повышение прав

Вот как выглядит у меня вкладка «Безопасность» свойств папки «C:\inetpub\wwwroot\» (у вас эта папка может находиться на другом диске), это корневая папка сайта «Default Web Site»:

В первую очередь нужно понимать, что наличие права на изменение свойств конкретной папки зависит от того, кто является ее «владельцем». Первоначально владельцем папки является ее создатель, но владельца папки можно изменить. Посмотреть, кто является владельцем папки, можно, нажав на кнопку «Дополнительно» на вкладке «Безопасность» свойств ресурса (см. иллюстрацию выше). После этого откроется окно с дополнительными параметрами безопасности ресурса:

Картинка с сайта: ilyachalov.livejournal.com

Как видно на иллюстрации выше, по умолчанию владельцем папки «C:\inetpub\wwwroot\» является пользователь с учетной записью «СИСТЕМА». Это одна из встроенных учетных записей операционной системы «Windows 10», которая ее представляет. Папка «C:\inetpub\wwwroot\» была создана операционной системой, когда я включил веб-сервер IIS (он является компонентой операционной системы «Windows 10», по умолчанию выключенной). Список управления доступом, который видно на иллюстрации выше, является списком управления доступом по умолчанию (подробнее об этом рассказано в статье «Default permissions and user rights for IIS 7.0 and later» документации на сайте компании «Microsoft»).

Обычно владелец компьютера при установке операционной системы на этот компьютер заводит учетную запись обычного пользователя, но эта запись включена в группу «Администраторы». При этом владелец компьютера работает с правами обычного пользователя, но при необходимости может поднять свои права до уровня администратора данного компьютера (данной операционной системы). Такая система позволяет улучшить безопасность работы: права администратора используются только в крайнем случае.

Повышение прав обычного пользователя до прав администратора (временное, так как права повышаются только для выполнения одного указанного действия) по-английски называют «elevation». Часто при запросе такого повышения операционная система спрашивает разрешения на это у пользователя, по-английски такой вопрос называется «elevation prompt». Но в некоторых случаях этот вопрос не задается, а обозначается иконкой щита, раскрашенного синим и желтым цветами в шахматном порядке (см. обе последние иллюстрации выше, на них обеих видны кнопки с этой иконкой). Эта иконка со щитом означает, что для данного действия потребуется повышение прав обычного пользователя до администраторских (при нажатии на кнопку это повышение будет выполнено автоматически). Подробнее об этом можно прочитать в статье «How User Account Control (UAC) works» документации на сайте компании «Microsoft».

Думаю, теперь должно быть понятно, почему для изменения прав доступа к папке «C:\inetpub\wwwroot\» требуются права администратора: потому что владельцем этой папки является операционная система (учетная запись «СИСТЕМА»). Я не собираюсь менять права доступа к этой папке, всё вышеописанное было приведено для примера, просто чтобы проиллюстрировать работу с доступом к папке. Если изменения всё же потребуется внести, то сначала нужно будет в окне, приведенном на иллюстрации выше, нажать на кнопку «Изменить разрешения», при этом будет проверено право текущего пользователя на редактирование свойств данной папки.

Приведу пример папки сайта, для изменения доступа к которой не нужны администраторские права доступа. Для этого я ранее создал на рабочем столе папку с названием «wp», работая под своей учетной записью «Илья» с правами обычного пользователя. Таким образом, владельцем папки «wp» был записан пользователь «Илья». После этого я переместил эту папку «wp» в корневую папку «C:\inetpub\wwwroot\» сайта «Default Web Site». Для выполнения перемещения операционная система затребовала поднятия прав моего пользователя «Илья» до прав администратора, так как перемещение в папку «C:\inetpub\wwwroot\» по умолчанию разрешено только от имени администратора. Я на это согласился. После этого, если открыть свойства полученной папки «C:\inetpub\wwwroot\wp\», перейти на вкладку «Безопасность» и нажать на кнопку «Дополнительно», то можно увидеть, что все действия (кроме смены владельца) с этой папкой разрешены от имени обычного пользователя «Илья», так как он является владельцем этой папки.

Наследование свойств доступа

Предположим, я хочу поменять список управления доступом к файлу «C:\inetpub\wwwroot\index.html»:

Картинка с сайта: ilyachalov.livejournal.com

На иллюстрации выше видно, что владельцем этого файла считается член группы «Администраторы», то есть для изменения свойств этого файла требуются администраторские права. Нажмем на кнопку «Изменить разрешения», как было описано в предыдущем разделе данного поста. Теперь я могу изменять список управления доступом (права моей учетной записи временно подняты до администраторских), появились новые кнопки: «Добавить» и «Удалить»:

Картинка с сайта: ilyachalov.livejournal.com

Если добавить новый элемент списка управления доступом к ресурсу я могу теперь без проблем, то удалить имеющийся элемент в этом списке не так просто. Выделим один из элементов в списке управления доступом (после этого кнопка «Удалить» станет активной) и нажмем на кнопку «Удалить». Удаления не произойдет, а появится следующее сообщение с предупреждением:

В данном случае элементы управления доступом из списка управления доступом унаследованы от родительской для данного файла папки «C:\inetpub\wwwroot\» (один элемент) и прародительской папки «C:\inetpub\» (четыре элемента). Унаследованные элементы можно поменять в свойствах той папки, от которой они унаследованы. Поэтому было выдано приведенное выше сообщение. Однако, это можно обойти: наследование можно отключить, а элементы, которые ранее наследовались от родительских папок, можно сделать назначенными без наследования для текущего ресурса. После этого список управления доступом данного файла можно будет поменять, удалив ненужные элементы.

Итак, сделаем такой обход. Для этого следует сначала нажать на кнопку «Отключение наследования». При этом будет предложено два возможных варианта действий:

Картинка с сайта: ilyachalov.livejournal.com

Выберем первый вариант: «Преобразовать унаследованные разрешения в явные разрешения этого объекта».

После этого список управления доступом ресурса окажется с теми же элементами, но они уже не будут унаследованы от родительских папок и отдельные элементы из этого списка можно будет удалять, если в этом будет необходимость.

Важное замечание. При экспериментах с настройкой прав доступа файлов и папок удобно сначала создать копию целевого файла или папки и произвести эксперименты сначала на копии, а уже потом, когда нужная настройка будет найдена, воспроизвести ее на оригинальном файле или папке. (Если же вы сразу уверены в правильности своих действий, тогда, конечно, можно сразу вносить изменения в свойства оригинальных файлов и папок.)

Продолжение следует.

This article is about the NTFS permission Creator Owner.

First you will find a short introduction into NTFS permissions and a description of the Creator Owner authorisation.
Learn about the possible risks of changing the permissions of a user and how you can avoid them.

What are Creator Owner Groups Used For?

The Creator Owner permission serves as a template. This means that a user has the permission to create subdirectories or files in any folder you allow him to access. The user has the same permissions on the folder as the Creator Owner group has got on the „parent folder“ (higher directory).

Sample Scenario

Let’s take the folder „Accounting“. It serves as network share. The first screenshot below shows the Access Control List (ACL). Take care of the CREATOR OWNER permissions and on “Test-Group01” (screenshots 2&3).

Картинка с сайта: activedirectoryfaq.com

In the second screenshot you can see the CREATOR OWNER group has full access to the accounting folder.

Картинка с сайта: activedirectoryfaq.com

In our Test-Group01 there is a user from our domain DC01 called “Max Mustermann”. All users that are members of the group “Test-Group1” have special permissions on that folder. If Max Mustermann creates a new folder in the accounting folder, he will get CREATER OWNER permissions to that folder and also full access to the ownership of that new subdirectory. (Screenshots 4&5)

Картинка с сайта: activedirectoryfaq.com

Risk of Unauthorized Access Caused by NTFS Standard

This is normal behaviour and set to standard for NTFS by Microsoft.  But it may also have some disadvantages in bigger company networks.

Let’s have a look at the example above and imagine we are in a company with 20,000+ users. Now Max Mustermann creates a subfolder “sensitive data” below the ACCOUNTING folder: He automatically gets CREATOR OWNER permissions for the new subfolder. This means he becomes the owner of that folder and has full access to all its data in “sensitive data”.

Imagine Max Mustermann gets a new position in the company and loses the permission to access the data of the accounting folder. As a result read access to the folder has been removed. But he can read it, because he still has his creator ownership permissions on the subfolder “sensitive data”. This may lead to unauthorized access and security issues, because other standard group rules do not apply here.

If you do not change this, traceability and transparency can be easily lost.

Solution for CREATOR OWNER Settings

The problem can be solved easily.

Simply remove the creator owner permissions.
This way only general rules apply to the new subfolder “sensible data”. Users only get the inherited permissions to new subfolders or files and not the additional permissions from the OWNER CREATOR template. The best part of this solution is that it is easy to implement, because there are no further consequences.

Artikel erstellt am: 17.11.2016

Наверх