为审计师准备的最佳实践 ACL？

Question

一名审计员将很快访问我们的办公室，他们将需要对我们的数据进行只读访问。我已经创建了一个域用户帐户并将它们放入一个名为“Auditors”的组中。

我们有一个包含大约十个共享文件夹的文件服务器 (Windows Server 2008)。所有共享都设置为允许经过身份验证的用户完全访问，并且使用 NTFS ACL 实施访问限制。大多数文件夹允许完全访问“域用户”组，但审核员不需要进行任何更改。因为我们有大约一百万个文件，所以更新 NTFS ACL 需要几个小时。以下是我目前正在考虑的选项。

• 在共享级别创建一个“员工”组来分配读/写而不是“域用户”
• 在 NTFS 级别创建一个“staff”组来分配读/写而不是“域用户”
• 拒绝访问共享级别的“审核员”组
• 拒绝在 NTFS 级别访问“审核员”组
• 接受现状并信任审计师。

我将来可能需要配置类似的用户，因为我们的一些承包商需要域帐户，但不应该能够修改我们的客户数据。是否有最佳实践？

Answer 1

这是我会做的（全部在 NTFS 级别，保留您的共享权限）：

1. 创建一个“只读访问”组
2. 将 Auditors 组、contators 组等添加到“ReadOnlyAccess”
3. 创建员工组
4. 删除域用户权限 - 您无论如何都不想这样做
5. 添加具有工作所需最低权限的 Staff 组
6. 添加具有 R/O 访问权限的 ReadOnlyAccess 组

您可以一次性完成第 4-6 步，因此它不是多次 acl 更新。

现在，每当有人需要 R/O 访问权限时，您只需将他们添加到“ReadOnlyAccess”组，将来无需更新 acl。