Allow и Deny в NTFS

Без субтитровС субтитрами

Словарь терминов:

NTFS - Основная файловая система Windows, поддерживающая права доступа, шифрование и развитую структуру диска.

пользователь - Человек, который работает с системой под своей учётной записью. Также сама запись с именем и правами доступа.

файл - Именованный набор данных, сохранённый на диске: документ, программа, изображение и т. п.

группа - Набор пользователей или объектов, которыми управляют вместе, чтобы назначать им общие права и настройки.

папка - Контейнер в файловой системе для организации файлов и других папок.

Allow и Deny в NTFS

Разбираем, что побеждает в NTFS, когда одному объекту одновременно разрешено и запрещено одно и то же право: явный запрет или явное разрешение. Отдельно смотрим, что меняется, если запрет пришел по наследству.

Основные шаги

1. Явный запрет против явного разрешения: запрет побеждает. Пользователь, которому на файле одновременно запретили и разрешили чтение, файл не открывает. Для NTFS все группы и пользователи равны, важны только явность записи и ее порядок.

2. Запрет по наследству: он слабее явного разрешения на самом файле. В примере файл 1.txt открылся, потому что для него есть явное разрешение. Файл 2.txt, где запрет только унаследован, не открылся.

3. Порядок проверки: система проверяет список прав сверху вниз и останавливается на первом совпадении. Явные записи стоят выше унаследованных, а внутри каждой группы сначала идет запрет, потом разрешение.

4. Зачем так сделано: можно задать общее правило и сделать одно исключение. Например, запретить чтение всей папки, но открыть один документ.

Теперь вы понимаете, почему явный запрет сильнее разрешения, а унаследованный запрет можно переопределить явным разрешением.

Следующий урок курса: Расширенные права чтения в NTFS

Содержание лекции: Allow и Deny в NTFS

Расшифровка лекции: Allow и Deny в NTFS

Полный текст первых минут лекции «Allow и Deny в NTFS» из видеокурса PracticU – субтитры с временной меткой для каждого абзаца. Так можно прочитать и найти нужные темы ещё до начала обучения.

00:02
Добро пожаловать на лекцию про войну между Дина и Элау. Мы посмотрим, кто выиграет. Явный запрет, всегда ли он победит разрешение доступа.
00:14
Или может быть явный запрет не такой сильный, как мы думали об этом до сих пор. И как мы считали его. Давайте создадим папку docs, документы.
00:23
И в ней создадим два текстовых файла, чтобы мы могли проверять права доступа. Это может быть любой файл, просто 1.1.1 и 2.2.2.2. Наша цель – проверить, в каких случаях явный запрет все-таки проиграет праву доступа.
00:44
Давайте начнем с того, что мы проверим, что происходит, когда у них есть обычное столкновение. Раздадим права и запрета и доступа на один и тот же файл, на 1.txt.
00:58
Мы сейчас сделаем все красиво и пойдем в закладку Security, которая находится и существует только в партициях типа NTFS. И мы видим, что у нас здесь много прав доступа к разным группам от наследства.
01:13
Они пришли нам от дисковода C, и я отказываюсь от услуг наследования, и у меня чистый список с правами доступа. И теперь я могу напрямую раздавать права доступа.
01:24
Давайте дадим админу право modify, то есть изменять, и группе administrators, в которой он состоит. И, кстати, administrators это простая группа, обычная группа, просто Microsoft, его программисты Microsoft дали какие-то права для этой группы.
01:45
Например, там право устанавливать приложение, удалять программы. Мы сейчас этим не интересуемся, для нас это обычная группа, просто она называется administrators.
01:54
То, что ей кто-то там дал какие-то права доступа в какие-то особые места в системе, нас это сейчас не интересует. Для нашего файла это обычная группа. Кстати, с точки зрения системы безопасности, все группы и пользователи это все security IDs, это только номера, это сиды, это просто номера.
02:15
И нет важнее, менее важного номера, все номера одинаковые, нет более сильной группы и более слабой группы. Просто есть группы, которые получили по умолчанию во время установки Windows какие-то дополнительные права на какие-то ресурсы.
02:31
Но с точки зрения системы NTFS мы все равны, мы все порядковые номера SID. Так, что мы делаем? Мы запрещаем сейчас администраторам право изменять этот файл.
02:42
И он мне дает, кстати, предупреждение, что изменение сильнее, чем разрешение. И вот здесь прямо это написано, что он получает приоритет. И у нас сейчас есть и запрет, и разрешение.
02:54
Заметьте, что оба из них явные на конкретный файл, и теперь мы хотим убедиться, кто из них победит. И, конечно, победит deny, и у нас не будет права доступа к контенту этого файла, мы не сможем его прочесть.
03:11
Здесь прямо написано, что тебе надо обратиться к администратору, чтобы получить права доступа. А, кстати, файл 2.txt, видите, мы видим его контент, его внутренность, его текст.
03:23
То есть, если у нас есть запрет на чтение и разрешение на чтение, запрет побеждает. Но вопрос, а что будет, если этот запрет придет по наследству? То есть, мы оставляем право читать файл явным способом на уровне конкретного файла, на уровне папки, в которой находится этот файл, мы запрещаем.
03:46
Во-первых, и здесь надо убрать услуги наследования, чтобы они нам не мешали. Вот мы их убрали. И теперь мы заходим в папку и говорим, что для этой папки администраторам мы все запрещаем, запрещаем все изменять.
04:03
То есть у нас есть явный запрет на уровне папки, который переходит по наследству к файлу, а на файле есть разрешение. То есть с точки зрения файла он получил явное разрешение напрямую, а по наследству, кстати, надо включить это наследство, вот я нажимаю включить наследство, у меня появилась строчка, что пришло наследство от моей папки, и у
04:25
этого наследства, заметьте, есть запрет на изменение, вот это вот, видите, изменение прямое, он не по наследству, колонка inheritance, написано none, а здесь запрет приходит по наследству.
04:39
Еще раз, allow разрешение напрямую, а запрет по наследству. Вот мы видим, видите, это явное, а это по наследству.
04:49
Вот это вот серенькое по наследству.