管理文件與文件夾權(quán)限(WINDOWS)

1、管理文件與文件夾權(quán)限管理文件與文件夾權(quán)限計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)教師:鄭開濤TELQ:33732587Email:講課提綱講課提綱v任務(wù)描述任務(wù)描述v任務(wù)目標(biāo)任務(wù)目標(biāo)v任務(wù)分析任務(wù)分析v任務(wù)分解任務(wù)分解v任務(wù)實(shí)施任務(wù)實(shí)施v任務(wù)總結(jié)任務(wù)總結(jié)v任務(wù)拓展任務(wù)拓展任務(wù)描述任務(wù)描述XX公司因工作需要，經(jīng)常使用文件服務(wù)來管理員公司因工作需要，經(jīng)常使用文件服務(wù)來管理員工之間的文件傳遞，公司要求：工之間的文件傳遞，公司要求： 經(jīng)理級(jí)人員不但能完全管理經(jīng)理文件夾，且能對(duì)員經(jīng)理級(jí)人員不但能完全管理經(jīng)理文件夾，且能對(duì)員工文件夾的內(nèi)容進(jìn)行修改，但不能刪除；工文件夾的內(nèi)容進(jìn)行修改，

2、但不能刪除； 員工級(jí)人員只能管理員工文件夾，不能讀取經(jīng)理文員工級(jí)人員只能管理員工文件夾，不能讀取經(jīng)理文件夾；件夾； 由于服務(wù)器器空間消耗量很大，為了避免員工隨意由于服務(wù)器器空間消耗量很大，為了避免員工隨意將一些不必要的文件放在服務(wù)器上，需要限制用戶將一些不必要的文件放在服務(wù)器上，需要限制用戶可以使用的磁盤空間（普通員工限制為可以使用的磁盤空間（普通員工限制為100MB，部，部門經(jīng)理限制為門經(jīng)理限制為300MB）.任務(wù)目標(biāo)任務(wù)目標(biāo)vNTFS權(quán)限和共享權(quán)限實(shí)現(xiàn)用戶和組訪問文權(quán)限和共享權(quán)限實(shí)現(xiàn)用戶和組訪問文件夾和文件的安全性件夾和文件的安全性 理解理解NTFS權(quán)限概念權(quán)限概念 掌握掌握NTFS權(quán)限的

3、組合權(quán)限的組合 理解移動(dòng)和復(fù)制對(duì)權(quán)限的影響理解移動(dòng)和復(fù)制對(duì)權(quán)限的影響 創(chuàng)建共享文件夾創(chuàng)建共享文件夾 掌握掌握訪問共享文件夾的方法訪問共享文件夾的方法 理解理解共享權(quán)限與共享權(quán)限與NTFS權(quán)限權(quán)限 掌握磁盤配額的配置掌握磁盤配額的配置任務(wù)分析任務(wù)分析J分析：分析： 通過設(shè)置文件夾訪問權(quán)限來通過設(shè)置文件夾訪問權(quán)限來保護(hù)文件的安全。保護(hù)文件的安全。 通過設(shè)置磁盤配額來限制用通過設(shè)置磁盤配額來限制用戶使用服務(wù)器空間。戶使用服務(wù)器空間。 通過通過查看事件日志查看事件日志來觀察安來觀察安全的情況全的情況任務(wù)分解任務(wù)分解J 建立用戶與用戶組（上節(jié)課已學(xué)習(xí)過）建立用戶與用戶組（上節(jié)課已學(xué)習(xí)過）J 設(shè)置安全共享

4、訪問（上節(jié)課已學(xué)習(xí)過）設(shè)置安全共享訪問（上節(jié)課已學(xué)習(xí)過）J 設(shè)置設(shè)置NTFS權(quán)限與共享權(quán)限權(quán)限與共享權(quán)限J 設(shè)置磁盤配額設(shè)置磁盤配額J 查看查看事件事件日志日志任務(wù)實(shí)施任務(wù)實(shí)施J 建立用戶與用戶組建立用戶與用戶組 建立用戶組建立用戶組USER（普通員工組）和（普通員工組）和MASTER（經(jīng)理（經(jīng)理組）組） 建立代表用戶建立代表用戶User01 （普通員工）和（普通員工）和Master01（經(jīng)（經(jīng)理）理） 加入組加入組USERUser01User nMASTERMaster01Master n用戶組用戶組用戶用戶任務(wù)實(shí)施任務(wù)實(shí)施J 設(shè)置安全共享訪問設(shè)置安全共享訪問 設(shè)置各用戶密碼（含超級(jí)用戶）設(shè)

5、置各用戶密碼（含超級(jí)用戶） 分配用戶權(quán)限分配用戶權(quán)限任務(wù)實(shí)施任務(wù)實(shí)施J 設(shè)置安全共享訪問設(shè)置安全共享訪問 設(shè)置安全選項(xiàng)設(shè)置安全選項(xiàng)任務(wù)實(shí)施任務(wù)實(shí)施J 設(shè)置安全共享訪問設(shè)置安全共享訪問 更新策略（更新策略（gpupdate /force） 設(shè)置共享文件夾設(shè)置共享文件夾USER和和MASTER 訪問共享文件夾就輸入用戶名與密碼訪問共享文件夾就輸入用戶名與密碼任務(wù)實(shí)施任務(wù)實(shí)施J 設(shè)置設(shè)置NTFS權(quán)限與共享權(quán)限權(quán)限與共享權(quán)限 NTFS概述概述 NTFS權(quán)限含義權(quán)限含義 獲得獲得NTFS 文件夾的文件夾的NTFS權(quán)限權(quán)限 文件的文件的NTFS權(quán)限權(quán)限 特別的權(quán)限特別的權(quán)限 取得文件或文件夾的所有權(quán)取得文

6、件或文件夾的所有權(quán) NTFS權(quán)限的應(yīng)用規(guī)則權(quán)限的應(yīng)用規(guī)則 復(fù)制和移動(dòng)操作對(duì)權(quán)限復(fù)制和移動(dòng)操作對(duì)權(quán)限 共享權(quán)限共享權(quán)限NTFS概述概述vNTFS特點(diǎn)特點(diǎn)可以設(shè)置權(quán)限可以設(shè)置權(quán)限支持更大的磁盤容量支持更大的磁盤容量壓縮功能壓縮功能文件加密文件加密AD需要使用需要使用 NTFS磁盤配額磁盤配額NTFS權(quán)限含義權(quán)限含義vNTFS文件系統(tǒng)可以針對(duì)文件系統(tǒng)可以針對(duì)不同用戶和組設(shè)置各種訪不同用戶和組設(shè)置各種訪問權(quán)限問權(quán)限 v只有被授予權(quán)限的用戶或只有被授予權(quán)限的用戶或組才能訪問組才能訪問v文件或文件夾的屬性中有文件或文件夾的屬性中有【安全】選項(xiàng)卡【安全】選項(xiàng)卡v訪問控制列表訪問控制列表(ACL)v訪問控制項(xiàng)

7、訪問控制項(xiàng)(ACE)安全選項(xiàng)卡安全選項(xiàng)卡獲得獲得NTFSv格式化格式化v命令命令:convert e: /fs:ntfsv第三方軟件第三方軟件文件夾的文件夾的NTFS權(quán)限權(quán)限v完全控制完全控制v修改讀取和運(yùn)行修改讀取和運(yùn)行v列出文件夾目錄列出文件夾目錄v讀取讀取v寫入寫入v特別的權(quán)限特別的權(quán)限文件的文件的NTFS權(quán)限權(quán)限v完全控制完全控制v修改修改v讀取和運(yùn)行讀取和運(yùn)行v讀取讀取v寫入寫入v特別的權(quán)限特別的權(quán)限特別的權(quán)限特別的權(quán)限 v和【安全】選和【安全】選項(xiàng)卡相關(guān)項(xiàng)卡相關(guān)讀取權(quán)限讀取權(quán)限更改權(quán)限更改權(quán)限取得所有權(quán)取得所有權(quán)取得文件或文件夾的所有權(quán)取得文件或文件夾的所有權(quán) v取得所有權(quán)取得所有

8、權(quán)v管理員沒有所有權(quán)管理員沒有所有權(quán)不能修改權(quán)限不能修改權(quán)限v管理員取得所有權(quán)管理員取得所有權(quán)可以修改權(quán)限可以修改權(quán)限階段練習(xí)階段練習(xí)J背景背景網(wǎng)管員無權(quán)訪問某些文件夾網(wǎng)管員無權(quán)訪問某些文件夾如何獲得訪問權(quán)限如何獲得訪問權(quán)限J目標(biāo)目標(biāo)設(shè)置設(shè)置NTFS權(quán)限權(quán)限 取得所有權(quán)取得所有權(quán) NTFS權(quán)限的應(yīng)用規(guī)則權(quán)限的應(yīng)用規(guī)則 v權(quán)限的組合權(quán)限的組合 v權(quán)限的繼承權(quán)限的繼承v權(quán)限的拒絕權(quán)限的拒絕v移動(dòng)和復(fù)制操作對(duì)權(quán)限的影響移動(dòng)和復(fù)制操作對(duì)權(quán)限的影響權(quán)限的組合權(quán)限的組合v用戶對(duì)資源的有效權(quán)限是分配給用戶帳戶用戶對(duì)資源的有效權(quán)限是分配給用戶帳戶的權(quán)限和用戶所屬各個(gè)組的累加權(quán)限的權(quán)限和用戶所屬各個(gè)組的累加權(quán)限

9、例如例如user屬于組屬于組group1和和group2權(quán)限的拒絕權(quán)限的拒絕v拒絕權(quán)限可以覆蓋所有其他權(quán)限拒絕權(quán)限可以覆蓋所有其他權(quán)限v可以設(shè)置拒絕用戶帳戶也可以拒絕組可以設(shè)置拒絕用戶帳戶也可以拒絕組例如例如user屬于組屬于組group1和和group2權(quán)限的繼承權(quán)限的繼承2-1 v新建的的子文件夾新建的的子文件夾和文件會(huì)繼承上一和文件會(huì)繼承上一級(jí)目錄的權(quán)限級(jí)目錄的權(quán)限v根目錄下的文件夾根目錄下的文件夾或文件繼承磁盤分或文件繼承磁盤分區(qū)的權(quán)限區(qū)的權(quán)限FolderAFolderB繼承權(quán)限繼承權(quán)限Read / Write權(quán)限的繼承權(quán)限的繼承2-2v可以拒絕繼可以拒絕繼承上級(jí)權(quán)限承上級(jí)權(quán)限v可以強(qiáng)

10、制下可以強(qiáng)制下級(jí)繼承權(quán)限級(jí)繼承權(quán)限從上繼承從上繼承向下繼承向下繼承阻止繼承阻止繼承FolderAFolderBFolderCRead / Write復(fù)制和移動(dòng)操作對(duì)權(quán)限的影響復(fù)制和移動(dòng)操作對(duì)權(quán)限的影響 NTFS分區(qū)分區(qū)移動(dòng)移動(dòng)復(fù)制復(fù)制相同相同保留原來的權(quán)限保留原來的權(quán)限繼承目的地文件夾的繼承目的地文件夾的權(quán)限權(quán)限不同不同繼承目的地文件夾的繼承目的地文件夾的權(quán)限權(quán)限繼承目的地文件夾的繼承目的地文件夾的權(quán)限權(quán)限NTFS PartitionC:NTFS PartitionE:NTFS PartitionD:MoveCopyCopyOrMove復(fù)制的影響復(fù)制的影響 移動(dòng)的影響移動(dòng)的影響階段練習(xí)階段練習(xí)

11、J背景背景XX公司的行政部和人事部的員工需要對(duì)某文件公司的行政部和人事部的員工需要對(duì)某文件夾有讀取和寫入權(quán)限夾有讀取和寫入權(quán)限其他部門的員工有讀取權(quán)限其他部門的員工有讀取權(quán)限 J目標(biāo)目標(biāo)設(shè)置設(shè)置NTFS權(quán)限權(quán)限 什么是共享文件夾什么是共享文件夾v什么是共享文件夾什么是共享文件夾v共享文件夾的優(yōu)點(diǎn)共享文件夾的優(yōu)點(diǎn)v共享文件夾的特征共享文件夾的特征共享后的文件夾共享后的文件夾創(chuàng)建共享文件夾創(chuàng)建共享文件夾v創(chuàng)建共享文件夾創(chuàng)建共享文件夾啟用共享啟用共享共享名共享名注釋信息注釋信息連接用戶數(shù)連接用戶數(shù)權(quán)限權(quán)限刪除共享文件夾刪除共享文件夾v刪除文件夾共享刪除文件夾共享v刪除時(shí)警告信息刪除時(shí)警告信息訪問共享

12、文件夾訪問共享文件夾3-1v網(wǎng)上鄰居網(wǎng)上鄰居通過瀏覽方式，速度較慢通過瀏覽方式，速度較慢訪問共享文件夾訪問共享文件夾3-2vUNC路徑組成路徑組成服務(wù)器名服務(wù)器名ip地址地址v輸入輸入U(xiǎn)NC路徑路徑【開始】【開始】|【運(yùn)行】對(duì)話框【運(yùn)行】對(duì)話框資源管理器的【地址】欄資源管理器的【地址】欄IE的【地址】欄的【地址】欄vUNC路徑可以快速訪問共路徑可以快速訪問共享文件夾享文件夾UNC訪問共享文件夾訪問共享文件夾訪問共享文件夾訪問共享文件夾3-3v映射網(wǎng)絡(luò)驅(qū)動(dòng)器映射網(wǎng)絡(luò)驅(qū)動(dòng)器v如何映射網(wǎng)絡(luò)驅(qū)動(dòng)器如何映射網(wǎng)絡(luò)驅(qū)動(dòng)器映射網(wǎng)絡(luò)驅(qū)動(dòng)器映射網(wǎng)絡(luò)驅(qū)動(dòng)器共享權(quán)限共享權(quán)限2-1共享權(quán)限共享權(quán)限網(wǎng)絡(luò)用戶可以網(wǎng)絡(luò)用戶可

13、以讀取讀取(Read)(默認(rèn)權(quán)限默認(rèn)權(quán)限, 被被分配給分配給 Everyone 組組)查看文件內(nèi)容和屬性查看文件內(nèi)容和屬性查看文件名稱和子文件夾名稱查看文件名稱和子文件夾名稱運(yùn)行程序運(yùn)行程序更改更改(Change)(包括包括 Read 權(quán)限權(quán)限)創(chuàng)建文件和子文件夾創(chuàng)建文件和子文件夾修改文件內(nèi)容修改文件內(nèi)容刪除文件和文件夾刪除文件和文件夾完全控制完全控制(Full Control)包括包括 Read 和和 Change 權(quán)限權(quán)限允許修改文件和文件夾的允許修改文件和文件夾的NTFS權(quán)限權(quán)限共享權(quán)限共享權(quán)限2-2v配置共享權(quán)限配置共享權(quán)限默認(rèn)為默認(rèn)為Everyone讀取讀取可以添加其他用戶和可以添加

14、其他用戶和組組共享權(quán)限通過網(wǎng)絡(luò)訪共享權(quán)限通過網(wǎng)絡(luò)訪問時(shí)有效問時(shí)有效共享權(quán)限與共享權(quán)限與NTFS權(quán)限權(quán)限2-1v共享權(quán)限只對(duì)通過網(wǎng)絡(luò)共享權(quán)限只對(duì)通過網(wǎng)絡(luò)訪問的用戶有效訪問的用戶有效vNTFS權(quán)限對(duì)本地用戶權(quán)限對(duì)本地用戶和網(wǎng)絡(luò)用戶都有效和網(wǎng)絡(luò)用戶都有效v如果共享文件夾存儲(chǔ)在如果共享文件夾存儲(chǔ)在NTFS文件系統(tǒng)上，還文件系統(tǒng)上，還要考慮要考慮NTFS權(quán)限權(quán)限v網(wǎng)絡(luò)訪問取兩種權(quán)限中網(wǎng)絡(luò)訪問取兩種權(quán)限中最嚴(yán)格的權(quán)限有效最嚴(yán)格的權(quán)限有效UsersReadChangeFCFile1File2PublicNTFS Volume共享權(quán)限與共享權(quán)限與NTFS權(quán)限權(quán)限2-2文件夾的共享權(quán)限是完全控制文件夾的共享權(quán)限

15、是完全控制file1和和file2的的NTFS權(quán)限分別權(quán)限分別是讀取和修改是讀取和修改那么用戶通過網(wǎng)絡(luò)對(duì)那么用戶通過網(wǎng)絡(luò)對(duì)file1和和file2的權(quán)限是讀取和修改的權(quán)限是讀取和修改讀取讀取修改修改完全控完全控制制File1File2文件夾文件夾NTFS 卷卷注：紅色的權(quán)限是共享權(quán)限，黑色的權(quán)限是注：紅色的權(quán)限是共享權(quán)限，黑色的權(quán)限是NTFS權(quán)限權(quán)限共享權(quán)限與共享權(quán)限與NTFS權(quán)限權(quán)限2-3共享權(quán)限共享權(quán)限NTFS權(quán)限權(quán)限網(wǎng)絡(luò)訪問有效權(quán)限網(wǎng)絡(luò)訪問有效權(quán)限完全控制完全控制完全控制完全控制完全控制完全控制修改修改更改更改讀取讀取讀取讀取拒絕訪問拒絕訪問拒絕訪問拒絕訪問更改更改完全控制完全控制更改更

16、改修改修改更改更改讀取讀取讀取讀取拒絕訪問拒絕訪問拒絕訪問拒絕訪問讀取讀取完全控制完全控制讀取讀取修改修改讀取讀取讀取讀取讀取讀取拒絕訪問拒絕訪問拒絕訪問拒絕訪問拒絕訪問拒絕訪問完全控制完全控制拒絕訪問拒絕訪問修改修改拒絕訪問拒絕訪問讀取讀取拒絕訪問拒絕訪問拒絕訪問拒絕訪問拒絕訪問拒絕訪問階段練習(xí)階段練習(xí): 確定有效的確定有效的NTFS和共享權(quán)限和共享權(quán)限在本練習(xí)中在本練習(xí)中: 確定有效的確定有效的NTFS權(quán)限權(quán)限確定共享權(quán)限確定共享權(quán)限NTFS VolumeUsersUsers GroupFCUser3User3FCUser2User2FCUser1User1FC1NTFS VolumeDa

17、taSales GroupRPubsHRSales GroupSalesFC2任務(wù)實(shí)施任務(wù)實(shí)施J 設(shè)置設(shè)置NTFS權(quán)限與共享權(quán)限權(quán)限與共享權(quán)限 通過上面的學(xué)習(xí)，大家先考慮如何設(shè)置通過上面的學(xué)習(xí)，大家先考慮如何設(shè)置NTFS權(quán)限和共享才能滿足企業(yè)的要求？權(quán)限和共享才能滿足企業(yè)的要求？任務(wù)實(shí)施任務(wù)實(shí)施J 設(shè)置磁盤配額設(shè)置磁盤配額 磁盤配額概念磁盤配額概念 啟用磁盤配額啟用磁盤配額C:D:E:F: 磁盤配額概念磁盤配額概念v磁盤配額與用戶磁盤配額與用戶 磁盤配額限制用戶帳戶使用卷（或分區(qū)）的磁磁盤配額限制用戶帳戶使用卷（或分區(qū)）的磁盤空間盤空間磁盤配額是以文件所有權(quán)為基礎(chǔ)的磁盤配額是以文件所有權(quán)為基礎(chǔ)

18、的 當(dāng)啟用磁盤配額后，當(dāng)啟用磁盤配額后，Administrators組成員不組成員不受限制受限制v磁盤配額與卷磁盤配額與卷 磁盤配額只適用于卷（或分區(qū)），且不受卷的磁盤配額只適用于卷（或分區(qū)），且不受卷的文件夾結(jié)構(gòu)及物理磁盤上的布局的影響文件夾結(jié)構(gòu)及物理磁盤上的布局的影響必須在必須在NTFS文件系統(tǒng)上實(shí)現(xiàn)文件系統(tǒng)上實(shí)現(xiàn)啟用磁盤配額啟用磁盤配額2-1 v啟用磁盤配額啟用磁盤配額啟用磁盤配額啟用磁盤配額拒絕將磁盤空間給超過拒絕將磁盤空間給超過配額的用戶配額的用戶磁盤空間限制磁盤空間限制警告等級(jí)警告等級(jí)記錄事件記錄事件啟用磁盤配額啟用磁盤配額2-2 v設(shè)置配額項(xiàng)設(shè)置配額項(xiàng)啟用磁盤配額和設(shè)啟用磁盤配額

19、和設(shè)置配額項(xiàng)置配額項(xiàng)任務(wù)實(shí)施任務(wù)實(shí)施J 查看查看事件事件日志日志任務(wù)總結(jié) v共享文件夾權(quán)限僅適用于通過網(wǎng)絡(luò)訪問共享共享文件夾權(quán)限僅適用于通過網(wǎng)絡(luò)訪問共享目錄的用戶，對(duì)計(jì)算機(jī)上工作的用戶無效目錄的用戶，對(duì)計(jì)算機(jī)上工作的用戶無效v而而NTFS權(quán)限既適用于通過網(wǎng)絡(luò)訪問共享目權(quán)限既適用于通過網(wǎng)絡(luò)訪問共享目錄的用戶，也適用于在計(jì)算機(jī)上工作的用戶。錄的用戶，也適用于在計(jì)算機(jī)上工作的用戶。v在共享文件夾權(quán)限中兼用用戶權(quán)限和組權(quán)限在共享文件夾權(quán)限中兼用用戶權(quán)限和組權(quán)限時(shí)，有效權(quán)限是累積的，但有時(shí)，有效權(quán)限是累積的，但有“拒絕訪問拒絕訪問”權(quán)限除外權(quán)限除外v兼用共享文件夾權(quán)限和兼用共享文件夾權(quán)限和NTFS權(quán)限時(shí)

20、，有效權(quán)限時(shí)，有效權(quán)限是是限制最大的權(quán)限權(quán)限是是限制最大的權(quán)限 任務(wù)總結(jié)vNTFS權(quán)限中兼用用戶權(quán)限和組權(quán)限時(shí)，有效權(quán)限中兼用用戶權(quán)限和組權(quán)限時(shí)，有效權(quán)限是累積的，但有權(quán)限是累積的，但有“拒絕訪問拒絕訪問”權(quán)限除外權(quán)限除外v對(duì)于對(duì)于NTFS權(quán)限，文件權(quán)限優(yōu)于文件夾權(quán)限權(quán)限，文件權(quán)限優(yōu)于文件夾權(quán)限v使用使用NTFS權(quán)限是提供本地安全性的唯一的途權(quán)限是提供本地安全性的唯一的途徑徑v共享文件夾權(quán)限是共享文件夾權(quán)限是FAT分區(qū)上提供本地安全性分區(qū)上提供本地安全性的唯一的途徑，并且僅當(dāng)從網(wǎng)絡(luò)訪問資源時(shí)才的唯一的途徑，并且僅當(dāng)從網(wǎng)絡(luò)訪問資源時(shí)才有效有效任務(wù)拓展任務(wù)拓展 v 某公司在服務(wù)器上設(shè)置一個(gè)共享文件夾某公司在服務(wù)器上設(shè)置一個(gè)共享文件夾Shared。v 公司要三個(gè)部門共用這個(gè)文件夾，現(xiàn)公司要求作如下數(shù)公司要三個(gè)部