Windows 域中的文件共享

Question

您如何将单个用户（或几个用户）分配到共享子文件夹但限制其他用户？

我和我的公司遇到了我们当前文件共享环境的设置问题，但我们没有尝试解决问题，而是将在新平台上重建系统。这次我们想从头开始做。

但是，我们遇到的问题是如何摆脱分配单个用户访问文件夹的权限。我的理解是您将用户分配到（安全）组，然后将该组添加到 NTFS 权限。但是，我们有许多文件夹，我们需要在其中授予特定用户访问文件夹的权限，而不是该组中的用户。

如果我没有解释清楚，我深表歉意。我会尽量在回复中澄清。

Answer 1

我的理解是您将用户分配到（安全）组，然后将该组添加到 NTFS 权限。但是，我们有许多文件夹，我们需要在其中授予特定用户访问文件夹的权限，而不是该组中的用户。

这是一般规则，但如果您只需要为单个用户分配权限，您当然可以这样做。

另一种选择是创建一个安全组，将此单独的用户帐户添加到该组并为该组分配权限。这样，如果您需要授予其他用户访问该文件夹的权限，您只需将他们添加到组中即可。

Answer 2

一般的经验法则是，如果文件夹用于特定用户，即主驱动器文件夹或特定机密扫描文档共享，则为单个用户设置权限。

如果文件夹用于部门或程序/应用程序，则为特定用途创建一个安全组并将用户添加到该组并为该组分配权限。

这种方法允许在他们决定希望更多人拥有访问权限时进行扩展，并且如果您将来需要进行维护或重新创建共享，那么管理人员将直接决定谁应该拥有访问权限.

Answer 3

从 Linux 角度和通过 Samba 共享，我将顶级共享设置为 770，并设置了 setgid 位（因此创建的所有文件/目录都保留顶级共享的组所有者），并授予该foo组访问权限. 然后创建一个子目录，以相同的方式设置权限，但也将组所有权更改为需要访问受限区域foo-admins或其他任何用户的唯一组。这很好地映射到 Windows 中的安全组。

将权限分配给特定用户 Bob 时的问题是，当 Bob 退休/失败/赢得乐透并雇用替代者时，您必须寻找 Bob 拥有的所有“特殊”内容并更改所有权/权限。

因此，从跨平台的角度来看，应采用安全组模型，而不是超出其$HOME共享或等效范围的单个用户。使不可避免的人事变动更容易处理。