提高windows主机安全访问（以server2008为例）

1、保护用户账号安全
2、实现文件共享安全
3、保护文件系统安全

准备：两台pc机，为别为pc1、pc2

保护用户账号安全

1、在pc1上创建windows用户
找到开始菜单中的“管理工具”–>“计算机管理”，再点击本地用户和组前面的+，右键用户，左键新用户

创建新用户时，密码一般要设置8位以上，并包含数字，大小写字母和特殊字符等三种及三种以上元素，保证密码强度。
创建好user1、user2、user3三个用户

实验时尽量选择密码永不过期来保证实验的简洁

右键组创建windows用户组

在group1右键“添加到组”，将用户添加到用户组

可点击高级–>立即查找,来选计算机中的用户


点击应用之后再点击确定
依次将user2添加带group2，user3添加带group3

2、实现文件共享安全

在pc1上创建文件夹file,然后在文件夹file中创建3个子文件夹group1，group2，group3

在group1文件夹中创建bmp图像，group1.bmp

返回文件file,右键file将文件共享

将user1、user2、user3添加进去，点击共享

在另一个server2008机器pc2上测试文件共享


操作，可以访问file中任何文件
发现可以删除其中任意文件
server2003默认是不可删除的，server2008默认是可以任意删除的，我们不想让其做删除操作只需要在分享操作中不选中执行权限即可，千万不要单方面在权限里将everyone禁止删除权限，否则administrator也无法删除此文件，因为禁止的操作大于一切允许的操作

在开始管理工具中选择共享和存储管理

看到file就是我们要分享的文件

我们将file右键属性
在权限中选择共享权限

我们把everyone和administrators的允许否只勾读取权限然后用再确定再应用再确定
记住一定要两个都只选读取
设置完毕之后我们在PC2机器中访问，并尝试删除test4（为了测试我新建的，你也可以直接删除group1）

发现不能删除

再尝试删除group1也发现不能删除

我们在pc1中可成功删除test4

在pc1上使用不同的用户访问共享文件夹
右键file–》属性–》共享–》高级共享

点击权限

点击添加，将user1、user2、user3用户别添加并设置不同的权限
将user1只选择读取权限

user2设置读取+更改权限

将user3设置读取+更改+完全控制权限

PC1登录

发现可以访问file文件夹内的任意文件，但是删除任意文件时，会弹出管理员登录界面

也无法新建任何文件

user2登录以及pc3登录后，发现仍然不能进行删除写入

可能是我有权限之间误操作的处理
用管理员权限登录然后右键file文件–》共享–》特定用户

共享后uer2与user3都可以删除写入文件

3、保护文件系统安全

进入file文件，右键group1属性–》安全–》高级–》更改权限

将包括从该对象的父项继承，弹出框点击删除

添加用户user1，自行选择权限，使得user1对group1有读写执行权限

发现更改后管理员无法访问

按对group1的操作，对group2设置user2，对group3设置user3

用user1登录发现只能对group有读写执行权限
group2跟group3都无法访问

用user2登录