NTFS安全权限选择属性

●Ｊ：Ｉ＾，＝　Ｉ【●　

诧　蕾　

Ｎ　Ｔ　ＦＳ权限继承的设置　

摘要：ＮＴＦＳ文件系统中，对一个对象安全权限的设置和　

权限继承的设置决定了这一对象最终的安全权限。本文对权限　

继承进行讨论。　

关键词：ＮＴＦＳ权限继承父对象子对象　

ＮＴＦＳ文件系统中，文件夹和文件的安全权限的设置涉及权　

限的继承。继承使得权限的设置更为方便（默认情况下允许继承　

父对象的权限，父对象的权限也都允许子对象继承）。例如对一　

个文件夹的安全权限进行设置，使某一用户拥有修改权限，由于　

继承性的作用，则该用户对这一文件夹下的文件和子文件夹以及　

子文件夹下的文件和子文件夹…．．等等，都有修改权限。　

继承性的设置是分两方面进行的。一是设置继承方ｆ子对象）　

允许继承其父对象拥有的权限，二是设置被继承方（父对象）允　

许哪些子对象继承其拥有的哪些权限，两者都允许时，某一权限　

才能被继承。下面通过具体的例子说明继承性的设置。　

图１是文件夹Ａ的树形结构，并且在文件日自Ａ　

夹Ａ中有一个文件Ａ．ＴＸＴ，在文件夹Ｂ中有一个　日０　Ｂ　

文件Ｂ．ＴＸＴ，在文件夹Ｃ中有一个文件Ｃ．ＴＸＴ。　ｕ　

如图２所示，ｔｅｓｔ用户对文件夹Ａ有修改权图ｌ树形结构　

限，在高级安全设置中能看到更详细的信息如图３所示。　

＿　一　霉　；　．．　一　燥　

ｊ　溯　Ｉ　谆　妾，叁　Ｉ　１０　＿ｌｌ０毫　

毪　时＿臣　蠹蠹　，　＿　ｌ　０　Ｉ　。　０　

０　露Ａｄｍｉｎｉｓｔｒ＾ｔ　ｓ（＾ｌ　ｌＦ５Ｄ８∞Ｅ４Ｔｃ、＾　ｉｎｉ　ｔｒａｔｏｒ　

毁ｔ　ｔ＿ｃ＾Ｆ∞ｉ，５泌明婚　？ｊ＿　Ｉ　｜．　

’　ｌｌｌ　

０　ｉ：曩　》　稀翩　ｑ垦）蠹蠢　蛐酴瞧）≯＿Ｉ　

囊臻ｌ生　豁明　隈胃　臻女　¨ｈｊ　蛰　＿蘑ｉ臻　蠡一算蕴　０　弱　

完全控制　口　口　ｊ　

ｌ　俺瞰　口　薯ｌ　读取和运行　团　口　Ｉ　

罗ｌｌ出文件夹目录　囝　口　ｌＩ　。　读取　团　口Ｊ　曩誊　写入　翻　口　。ｌ　■毫　Ｉ＾ｈ＋ｎ阴　一　１＇－１■：　

WINDOWS SERVER 2003从入门到精通之

NTFS特性

在WINDOWS环境下我们可以使用的文件系统是FAT和NTFS两种,那么有些用户就会提出疑问,

这两种文件系统哪个更适合我呢?这就需要我们对这两种的特性有所了解.

首先了解利用NTFS权限实现用户和组访问文件夹和文件的安全性

因为我们讲解是关于WINS2003的系列课程,所以我们今天主要来讲述在适用于服务器上的

NTFS文件系统

当然我们首先要知道如果我们的系统盘原来是FAT分区,现在需要改变成NTFS分区,那该如

果去做?在此要记住一个命令convert e:/fs:ntfs 这个命令可以安全的把原来的FAT分区

转化成NTFS分区,原来分区中的数据都不会丢失(包括系统盘),使用命令时要输入一个卷标

即可.但要记住这个命令虽然挺好,不过它是单向转化,换句话说就是只能从FAT转到NTFS,

而不支持从NTFS转换到FAT,这个切记!!!

这次讲解我们主要是以实验的形式来完成,首先大家考虑以下几个问题,在工作中创建文件服务器时的常见问题:

环境：系统有两个用户UserA和UserB，以及相对应的文件夹A和B

如何让文件夹A只能被UserA读取，而UserB不能读取？

如何在UserB对文件夹A有完全控制权限的情况下，文件夹A里的文件不会被UserB读取？

如何让UserA使用的磁盘空间不超过100Mb？ 如何在一定的磁盘空间下，容纳尽可能多的文件？

大家可以发现以上几个问题,如果分区是FAT是不能完成的,而使用NTFS的特性即可完成!

NTFS特点:

1)可以设置权限

2)更好的伸缩性使扩展为大驱动器成为可能

3)压缩功能

4)文件加密

5)AD需要使用 NTFS

6)磁盘配额，可用来监视和控制单个用户使用的磁盘空间量

7)卷影副本的应用

3种文件系统的兼容性:

不过在此要指出其实FAT有3种:FAT12,FAT16,FAT32

NTFS权限可以限制本地用户的权限,如果是网络共享也可以结合共享权限一同设置共享权

NTFS的详细权限介绍

1. 遍历文件夹/执行文件：遍历文件夹让用户即使没有权限访问的情况下，仍然可以切换到文件夹内，此权限仅适用于文件夹；执行文件让用户可以运行程序

2. 列出文件夹/读取数据：让用户可以查看此文件夹的文件名和子文件夹名，只适用于文件夹；读取数据让用户可以查看文件内的数据

3. 读取属性：用户可以查看文件内的数据

4. 读取扩展属性：用户可以查看文件或文件夹的扩展属性，扩展属性由应用程序制定的

5. 创建文件/写入数据：创建文件可以让用户在文件夹内新建文件，该权限仅适用于文件；写入数据可以让用户修改文件内容，只适用于文件

6. 创建文件夹/附加数据：创建文件夹可以让用户在文件夹内新建子文件夹；附加数据可以在文件内添加数据，但无法删除、覆盖原有的数据。

7. 写入属性：让用户可以更改文件或文件夹属性（只读、隐藏等）

8. 写入扩展属性：可以修改文件或文件夹的扩展属性

9. 删除子文件夹及文件：用户可以删除此文件夹内的子文件夹和文件，即使用户对子文件夹没有删除权限也能删除

10. 删除：允许用户删除该文件夹和文件（如果有子文件夹则无法

删除）

11. 读取权限：可以查看文件或文件夹的权限设置

12. 更改权限：可以更改文件或文件夹的权限设置

13. 取得所有权：可以获得该文件夹或文件的所有权，无论该资源权限为何，都具备更改文件夹或文件的能力

1、本地权限设置本地权限是指登录本机时，不同用户可以行使的权限。本地权限在“安全”选项卡中进行设置。由于只有NTFS文件系统支持本地权限，所以本地权限又称NTFS权限。问：为什么我的文件夹属性中没有“安全”选项卡？答：只有使用NTFS文件系统的分区才能设置NTFS权限，如果你的磁盘分区用的是FAT或FAT32，就没有“安全”选项卡。问：我的计算机装的是Windows XP，磁盘用的是NTFS文件系统，为什么在文件夹属性中不能设置NTFS权限？答：Home版的XP不能设置NTFS权限，Professional版的XP可以设置。问：怎么将FAT或FAT32文件系统转换为NTFS文件系统？答：打开“开始 | 运行”，输入命令：convert 盘符/fs:ntfs。例如：convert d:/fs:ntfs 就是将D盘转换为NTFS文件系统。这种转换是无损转换，磁盘中的文件不会丢失。但转换成NTFS后，就不能再转回FAT32了。问：打开安全属性后，里面的权限都是灰色的，不能取消，我想删除该账户也删不了。答：灰色的权限表示该权限是继承自上一层文件夹，这种情况下只能往里添加新权限，不能取消已选中的权限。解决方法有两个：一是通过添加“拒绝”来否定那些已经选中的“允许”。二是删除所有继承来的账户和权限，再重新添加账户和权限。删除方法是单击“高级”按钮，取消“允许父项的继承权限传播到该对象和所有子对象，包括那些在此明确定义的项目”复选框，在弹出的对话框中单击“删除”按钮。这时所有继承来的账户和权限都将被删除。问：“拒绝”权限是否一定优先于“允许”权限？答：不完全是这样。由于权限有继承来的权限和直接设置的权限两种，它们的优先次序从高到低依次是：直接设置的拒绝、直接设置的允许、继承的拒绝、继承的允许。问：我用我的账户登录计算机，为什么有的文件夹可以设置本地权限，有的文件夹不行？答：一个账户通常只能对那些拥有所有权的文件夹设置本地权限。也就是当你用一个账户登录后，那些由你创建的文件夹，其所有权归你，你也可以为它设置NTFS权限。另外，如果某文件夹的所有权不属于你，但你拥有对该文件夹“修改权限”这一特别权限，你也可以重新设置它的权限。问：特别权限是什么？怎么设置？答：特别权限是对普通权限的进一步细化，我们一般用普通权限进行粗略设置，再用特别权限进行精确设置。设置特别权限的方法是：单击“高级”按钮，选中想要修改的账户，再单击“编辑”按钮就可以设置特别权限了。问：除了我自己之外，怎么能让其它用户不能修改我的权限设置？答：特别权限中有一个“修改权限”和一个“获得所有权”。“修改权限”表示该用户可以修改该文件夹的权限，“获得所有权”表示该用户可以改变文件夹的所有者，如果把这两个权限取消，就可以防止该用户修改权限设置。由于Administrators组的成员自动拥有“获得所有权”的权限，所以管理员可通过抢夺文件所有权的方法更改文件权限。问：文件所有权是什么？有什么用？答：当一个账户登录了计算机后（包括本地登录和网络登录），他对他所创建的文件拥有所有权。用户可以对拥有所有权的文件夹设置访问权限；管理员可以通过磁盘配额限制用户对磁盘的使用量。问：怎样抢夺一个文件夹的文件所有权？答：打开文件夹属性的“安全”选项卡，单击“高级”按钮，选择“所有者”标签，然后就可以更改所有权了。更改后，如果选中“替换子容器及对象的所有者”，则可以同时更改子文件夹的所有权。说明：管理员组的成员有权更改所有权，其它账户如果在权限中具有“获得所有权”的权限，也可以更改所有权。2、共享权限设置共享权限用来限制网络访问者对共享文件夹的访问。共享权限在文件夹属性的“共享”选项卡中设置。在Windows Server 2003中，当一个文件夹设置为共享时，它的共享权限默认为“Everyone 只读”。问：Windows XP中的共享设置与Windows Server 2003中的不一样，许多功能都没有，怎么办？答：打开窗口的“工具”菜单下的“文件夹选项”，在“查看”标签中，把“使用简单文件共享(推荐)”前面的√去掉，这样在文件夹的属性中就可以使用经典的共享设置了。问：我的文件夹属性中没有“共享”选项卡？答：并非所有用户都有权建立共享文件的，在Windows Server 2003中只有Administrators和Power Users组的用户有权创建共享资源，如果用Users组的用户登录计算机就看不到“共享”选项卡。问：怎样用地址访问其它计算机？答：打开“开始 | 运行”，输入“\\计算机名”或者“\\IP地址”就可以访问指定的计算机。如果要访问其中的共享文件夹，还可加上共享名，即“\\计算机名\共享名”。这种地址称为网络地址或UNC地址。问：我把文件夹的共享权限设置为“Everyone 完全控制”了，为什么从网络访问时不能修改和删除里面的文件？答：从网络访问时，访问权限同时受共享权限和NTFS权限的限制，用户拥有的权限是共享权限和NTFS权限的交集，所以除了设置共享权限外，还应该设置相应的NTFS权限才行。问：共享权限中的“读取”、“更改”和“完全控制”有什么区别？答：“读取”包括：查看子文件夹和文件名；查看文件的内容；运行可执行文件。“更改”具备了“读取”的权限外，还包括：添加子文件夹和文件；更改文件的内容；删除文件和子文件夹。“完全控制”具备了“更改”的权限外，还包括：更改权限。问：Everyone是什么组？它包括哪些用户？答：在Windows Server 2003中定义了一些特别身份组，这些组的成员不能人工设定，而是按一定的条件组织起来的。常用的特别身份组有：Everyone：包括所有有效账户和来宾(Guest)账户，但不包括那些匿名用户。Anonymouse Logon：包括所有匿名用户。用特别身份组设置权限可以简化权限设置。比如想要让一个文件夹允许所有用户访问，只要向其中添加Everyone和Anonymouse Logon，并设置相应权限就行了。问：怎么设置隐藏的共享文件夹？答：只要在设置共享文件夹时，在共享名的末尾加一个“$”，则该共享文件夹就成为隐藏的共享文件夹。问：怎样访问隐藏的共享文件夹？答：隐藏的共享文件夹无法在网上邻居中看到，只能用UNC地址访问。假如在计算机名为A01的计算机中有一个隐藏的共享文件夹files$，访问时，可以打开“开始 | 运行”，输入“\\A01\files$”或者“\\A01的IP地址\files$”进行访问。问：怎么为一个共享文件夹设置多个共享名？答：把一个文件夹设置为共享文件夹后，在“共享”选项卡中会有一个“新建共享”按钮，用它可以为该共享文件夹创建新的共享名。在同一文件夹的不同共享名下，可以设置不同的共享权限。