EVERYONE समूह को हटाने से डोमेन व्यवस्थापक को ड्राइव तक पहुंचने से क्यों रोका जाता है?

Question

यह इस प्रश्न से संबंधित है:

डोमेन एडमिंस समूह ने डी: ड्राइव तक पहुंच से इनकार किया

मेरे पास एक बिलकुल नया AD लैब वातावरण में एक सदस्य सर्वर है।

• मेरे पास एक सक्रिय निर्देशिका उपयोगकर्ता है ADMIN01जो Domain Adminsसमूह का सदस्य है

• Domain Adminsवैश्विक समूह के सदस्य सर्वर की स्थानीय का एक सदस्य है Administratorsसमूह

• सर्वर के डोमेन का सदस्य बनने के बादD: जोड़े गए मेरे नए ड्राइव के रूट पर निम्नलिखित अनुमतियाँ कॉन्फ़िगर की गई हैं:

    सभी - विशेष अनुमतियाँ - यह फ़ोल्डर केवल
      ट्रैवर्स फ़ोल्डर / फ़ाइल निष्पादित करें
      सूची फ़ोल्डर / डेटा पढ़ें
      विशेषताएँ पढ़ें
      विस्तारित विशेषताएँ पढ़ें

    निर्माता OWNER - विशेष अनुमतियाँ - केवल सबफ़ोल्डर और फ़ाइलें
      पूर्ण नियंत्रण

    सिस्टम - यह फ़ोल्डर, सबफ़ोल्डर और फाइलें
      पूर्ण नियंत्रण

    प्रशासक - यह फ़ोल्डर, सबफ़ोल्डर और फाइलें
      पूर्ण नियंत्रण

उपरोक्त ACL के तहत डोमेन उपयोगकर्ता ADMIN01लॉगऑन कर सकता है और D:ड्राइव तक पहुंच सकता है , फ़ोल्डर्स और फाइलें बना सकता है और सब अच्छा है।

यदि मैं Everyoneइस ड्राइव के रूट से अनुमति हटाता हूं तो गैर-अंतर्निहित उपयोगकर्ता जो Domain Admins(जैसे ADMIN01) समूह के सदस्य हैं, अब ड्राइव तक नहीं पहुंच सकते हैं। डोमेन Administratorखाता ठीक है।

स्थानीय मशीन Administratorऔर Domain Admin"प्रशासक" खाते में अभी भी ड्राइव की पूरी पहुंच है, लेकिन जो भी "नियमित" उपयोगकर्ता जोड़ा गया Domain Adminsहै, उसे एक्सेस से वंचित किया गया है।

यह इस बात की परवाह किए बिना होता है कि क्या मैंने वॉल्यूम बनाया है और Everyoneस्थानीय मशीन के रूप में लॉग इन की अनुमति को हटा दिया है Administratorया क्या मैं Domain Admin"व्यवस्थापक" खाते के रूप में लॉग ऑन करता हूं ।

जैसा कि मेरे पिछले प्रश्न में उल्लेख किया गया है, आस-पास का कार्य "उपयोगकर्ता खाता नियंत्रण: व्यवस्थापक अनुमोदन मोड में सभी व्यवस्थापकों को चलाना" नीति को सदस्य सर्वर पर या डोमेन विस्तृत GPO के माध्यम से स्थानीय स्तर पर अक्षम करना है ।

Everyoneखाते को D:ACL से हटाने से गैर-अंतर्निहित उपयोगकर्ताओं के लिए यह समस्या क्यों होती है जिन्हें सदस्यता प्रदान की जाती है Domain Admins?

इसके अलावा, इस प्रकार के गैर-बिल्ट-इन Domain Adminउपयोगकर्ताओं को ड्राइव पर पहुंच से वंचित होने के बजाय अपनी अनुमति को बढ़ाने के लिए प्रेरित क्यों नहीं किया जाता है?

Answer 1

मैंने खुद इस पर गौर किया है। क्या होता है, यह है कि यूएसी किक करता है क्योंकि आप ड्राइव पर पहुंच प्राप्त करने के लिए अपनी "स्थानीय प्रशासक" सदस्यता का उपयोग कर रहे हैं, और यह एक्सटैली है जो यूएसी के लिए निगरानी रखता है।

फ़ाइल सर्वर के लिए, मेरा व्यक्तिगत सर्वश्रेष्ठ अभ्यास उपयोगकर्ताओं के लिए अनुमति प्रदान करने के लिए "प्रशासक" समूह का उपयोग कभी नहीं करना है।

इसे आज़माएं: "FileServerAdmins" नामक एक AD समूह बनाएं या जो भी हो, उसमें अपना उपयोगकर्ता (या डोमेन व्यवस्थापक समूह) जोड़ें। इस समूह को मौजूदा प्रशासक समूह के समान अनुमतियों के साथ डी-ड्राइव तक पहुंच दें।

आपको ध्यान देना चाहिए कि "सब" की अनुमति के बाद भी "FileServerAdmins" समूह के किसी भी सदस्य को UAC प्रॉम्प्ट प्राप्त किए बिना, अभी भी ड्राइव तक पहुंच होनी चाहिए।

थोड़ी देर पहले जब मुझे यह पता चला तो मैं खुद हैरान रह गया, यह शायद यूएसी का एक हिस्सा है जो कुछ पुनः उपयोग कर सकता है ...

Comments

जितना अधिक मैं पागल यूएसी से संबंधित मुद्दों (यानी, लगभग दैनिक) पर ठोकर खाता हूं, उतना ही मैं अपने डेवलपर्स के दिमाग पर एक कोड संशोधन करना चाहता हूं ...

— मास्सिमो

Answer 2

ऐसा प्रतीत होता है कि मैं इस समस्या का सामना करने में अकेला नहीं हूँ। दांव पर मुद्दा यह लगता है कि गैर-निर्मित उपयोगकर्ता जो Domain Adminsयूएसी की बात करते हैं और पूरी तरह से शिलिंग नहीं हैं, उन्हें "विशेष" माना जाता है:

विंडोज सर्वर 2008 आर 2 और यूएसी

UAC और डोमेन एडमिंस अनुमतियाँ विंडोज 2008 पर जारी करती हैं - भाग 1

UAC और डोमेन प्रवेश अनुमतियाँ जारी करना या क्रिप्टोनाइट से भरा पॉकेट - भाग 2

अंतिम लिंक से मुख्य पैराग्राफ बताते हैं:

मूल रूप से, [गैर-अंतर्निहित उपयोगकर्ता जो हैं - (मेरे द्वारा जोड़ा गया)] सभी अन्य उपयोगकर्ताओं के विपरीत, डोमेन एडमिन को दो टोकन दिए जाते हैं। उनके पास पूर्ण एक्सेस टोकन है (हर किसी की तरह) और दूसरा एक्सेस टोकन फ़िल्टर एक्सेस टोकन के रूप में जाना जाता है। इस फ़िल्टर्ड एक्सेस टोकन में प्रशासनिक शक्तियाँ हटा दी गई हैं। Explorer.exe (यानी सभी की जड़) को फ़िल्टर्ड एक्सेस टोकन के साथ शुरू किया गया है, और इस प्रकार सब कुछ इसके साथ शुरू किया गया है।

इसके बारे में सोचो रिवर्स में RUNAS के रूप में है। एक डोमेन व्यवस्थापक होने के बजाय आप चपरासी की स्थिति में कम हो जाते हैं। यह वास्तव में, क्रिप्टोनाइट है।