2008 - автоматизация разграничения прав файлового сервера в АД

Keraberos · Отправлено: **12:22, 19-05-2016** | #11

Подскажите, сейчас всплыл ещё один не приятный момент.Скрипт запускаем с файлового сервера под доменной учетной записью администратора. Если владелец папки к которой применяется скрипт не администратор ( другой доменный пользователь) скрипт выдает ошибку Set-Acl : The security identifier is not allowed to be the owner of this object.
Это как-то решается?

El Scorpio · Отправлено: **00:56, 20-05-2016** | #12

Это решается принудительным изменением владельца.
Можно вообще принудительно задать владельца для самого верхнего каталога с параметром "применять ко всем вложенным файлам и папкам".

Если существующие права доступа объекта файловой системы не позволяют администратору просматривать права файла/каталога, то после такой смены эти права будут сброшены: данный файл/каталог будет иметь только полные права для SYSTEM и для администратора, выполнившего данную операцию.
Впрочем в вашем случае это не страшно, поскольку вы всё равно все нужные права назначите автоматически.

Keraberos · Отправлено: **15:18, 20-05-2016** | #13

Менять владельца принудительно можно, и это поможет, но такой вариант не подходит, так как иногда спрашивают "А кто создал этот файл?"

El Scorpio · Отправлено: **01:42, 23-05-2016** | #14

Keraberos, иначе - никак.
Что касается вопроса "кто создал", то во многих типах документов эта информация сохраняется в метаданных (тегах, свойствах)

AkP · Отправлено: **09:22, 23-05-2016** | #15

Цитата Keraberos:

Это как-то решается? »

А разве у Вас группа локальных администраторов (в которую входят администраторы домена) не имеет полного доступа к файлам и\или отключено наследование? Если нет, добавьте\включите, или меняйте владельцев.

Keraberos · Отправлено: **10:34, 24-05-2016** | #16

Цитата:

А разве у Вас группа локальных администраторов (в которую входят администраторы домена) не имеет полного доступа к файлам и\или отключено наследование? Если нет, добавьте\включите, или меняйте владельцев.

В том то и дело что администратор имеет полные права - руками всё меняется отлично, а вот через скрипт не хочет.

Жаль конечно если иначе всё же не как... Да и в "многих типах файлов можно посмотреть владельца" это всё же не все... Хотя мы сейчас думаем, как бы сделать более удобное отображение владельца и изменившего.. если выйдет, вопрос отпадёт...