Windows 域共享权限基础知识

Question

考虑以下股权：

Security \\dev\profiles\
rw – Administrators

Security \\dev\profiles\bambus02
inherited AND
rw – bambus02

Sharing \\dev\profiles
rw – Everyone

作为“bambus02”，我的访问\\dev\profiles被拒绝，但\\dev\profiles\bambus02允许以完全权限访问- 这确实是我们希望的行为，但问题是：

为什么我可以访问共享的子文件夹，而在路径上更高的文件夹（配置文件）的访问被拒绝？

这不是ACL检查的工作方式，从上到下检查所有路径段并在不允许时停止吗？

Answer 1

您将需要查看共享文件夹的高级安全设置（详细的 NTFS 权限）。最有可能的是，您会发现您的用户帐户具有“遍历文件夹/执行文件”权限。

即使您没有此权限，默认设置也会完全绕过此限制。

对于文件夹：遍历文件夹权限仅适用于文件夹。此权限允许或拒绝用户浏览文件夹以到达其他文件或文件夹，即使用户对所遍历的文件夹没有权限也是如此。仅当组或用户没有被授予绕过遍历检查用户权限时，遍历文件夹才生效。绕过遍历检查用户权限检查组策略管理单元中的用户权限。默认情况下，Everyone组具有绕过遍历检查用户权限。

来源：知识库文章 308419