명령 줄에서 추가 된 NTFS 권한으로 보호 된 루트 폴더 생성

폴더 당 숫자가있는 읽기 전용 및 읽기 쓰기의 두 가지 유형의 그룹이 있습니다.

GROUP1_RO
GROUP1_RW
GROUP2_RO
GROUP2_RW
(...)

그런 디렉토리 트리를 만들고 싶습니다.

SHARE
|-MAIN_FOLDER1
| |-SUBFOLDERS
| |-FILES
|
|-MAIN_FOLDER2
| |-SUBFOLDERS
| |-FILES
|
|-MAIN_FOLDER3
(...)

모든 그룹은 자신의 MAIN_FOLDER *에 액세스 할 수 있으며 그룹 _RO는 파일을 읽을 수만 있지만 _RW는 폴더를 만들고 폴더와 파일을 삭제할 수 있습니다.

이 _RW 사용자가 MAIN_FOLDERS *가 실수로 삭제되는 것을 방지하고 싶습니다.

주요 목표는이 폴더를 정확한 권한으로 하나씩 준비하는 배치 / cli 명령 세트를 작성하는 것입니다.

icacls 로이 작업을 시도했지만 여러 권한 (잘못된 매개 변수)에 문제가 있습니다.

이러한 권한을 설정하여 수동 으로이 작업을 수행했습니다.

    a) Enter Properties > Security > Advanced > Edit...
    b) Uncheck "Include inheritable permissions from this object's parent" and choose "Remove"
    c) Add group GROUP1_RO ( RO ) and set permissions:

            + Allow (( This Folder, subfolders and files ))

            * Traverse Folder / execute file
            * List folder / read data
            * Read attributes
            * Read extendet attributes
            * Read permissions

            - Deny

            * Delete

    e) Add group GROUP1_RW ( RW ) and set permissions:

            + Allow (( This Folder, subfolders and files ))

            * Full control
            - uncheck Take ownership

            - Deny

            * Delete

그러나 많은 하위 폴더에 대해이 모든 것을 수동으로 설정하는 것은 고통 스럽습니다. 다른 그룹으로 icacls (또는 다른 것)에 의해 이것을 설정하는 방법이 있습니까?

감사합니다, 마이크

— 마이크
소스

DENY를 사용하는 것은 나쁜 습관이며 불필요합니다. "이 폴더, 하위 폴더 및 파일"에 대한 읽기 권한을 갖도록 RO 그룹을 할당하십시오. RW 그룹 권한을 "수정" "하위 폴더 및 파일"및 "읽기" "이 폴더 만"에 할당하십시오. 그렇습니다. 이것은 icacls, 아마도 cacls 및 powershell로 수행 할 수 있습니다. 시도한 것에 대한 몇 가지 예를 제공하지 않으면 자신의 질문에 대답하기 위해 충분한 양의 조사를 수행했다고 판단 할 수 없습니다.

— Appleoddity

@Appleoddity 목표를 달성하기 위해 정확한 icacls 명령을 제공 할 수 있습니까? 아래에서 볼 수 있듯이 icacls로 관리 한 것이 있습니다. 하위 폴더 및 파일에 대한 수정을 사용하여 버전을 시도하고 +이 폴더 만 읽으므로 사용자는 기본 폴더에서 새 폴더를 만들 수 없습니다.

— mike

어쩌면 이것이 도움이 될까요? josephspurrier.com/…

— Strepsils

어쩌면 나는 두 가지 방법으로 이것을 할 수 있었다.

I) 상속 :

mkdir MAIN_FOLDER1
icacls MAIN_FOLDER1 /inheritance:d
icacls MAIN_FOLDER1 /remove Everyone
icacls MAIN_FOLDER1 /grant GROUP1_RO:(OI)(CI)(RX)
icacls MAIN_FOLDER1 /grant GROUP1_RW:(OI)(CI)(RX,W,WDAC,DC)
icacls MAIN_FOLDER1 /deny GROUP1_RW:(OI)(CI)(DE)

II) 상속없이 :

mkdir MAIN_FOLDER1
icacls MAIN_FOLDER1 /inheritance:r
icacls MAIN_FOLDER1 /grant "DOMAIN\Domain Admins":(OI)(CI)(F)
icacls MAIN_FOLDER1 /grant "BUILTIN\Administrators":(CI)(F)
icacls MAIN_FOLDER1 /grant GROUP1_RO:(OI)(CI)(RX)
icacls MAIN_FOLDER1 /grant GROUP1_RW:(OI)(CI)(RX,W,WDAC,DC)
icacls MAIN_FOLDER1 /deny GROUP1_RW:(OI)(CI)(DE)

그리고 그 행동을 반복합니다.

— 마이크
소스