05-NTFS权限规则

一、权限规则

1、权限的累加

• 用户分配的有效权限是分配给用户所有权限的累加

  • 假设一个用户（张三）设置了读取权限，给用户所属分组分配了修改权限，用户最终权限就等于读取和修改

修改用户张三对于文件夹的权限

查看users的所属权限

• 查看文件、文件夹全部权限

#文件属性>安全>高级>有效访问>选择用户>输入用户名校验后确定>查看有效访问

2、拒绝权限

• 拒绝的权限大于一切（在访问控制列表中，拒绝的权限优先级最高）

• 当出现权限冲突的时候，拒绝的权限最高（举例：用户所属组的读取权限，用户拒绝权限，最终用户没有读取权限）

  • 设置拒绝权限

  #文件属性>安全>编辑>添加用户>设置拒绝>确定

  

查看张三的有效权限

说明张三对于这个文件没有任何权限

3、继承权限

• 文件或文件夹的访问控制列表默认的情况下会继承上级文件夹的权限

注意：

1. 同一文件夹下的文件与文件夹，权限是不同的，因为文件不能进行“列出文件夹内容”操作，故没有该权限

2. 继承过来的权限无法直接改动，需要先禁用继承才行。建议是将父权限复制一份到本文件或文件夹才能进行修改权限（上一讲有提及：选择“将已继承的权限转为此对象的显示权限”）

4、特殊权限（特别的权限）

• 读取权限（和读取文件或文件夹的内容没有任何关系）

  • 读取文件或文件夹的访问控制列表

  • 针对于用户想要访问某个文件内容，此权限必须勾中

  案例:用户特殊权限中的读取权限关闭

  不能访问文件夹控制列表

  不能访问文件内容

  使用命令也拒绝访问（用户张三）

• 更改权限（和修改文件或文件夹内容没有任何关系）

  • 用户是否可以修改文件或文件夹的访问控制列表，由于此权限是可以为用户添加或删除权限，会造成很多不安全因素，此权限一般不会给。

  • 要想修改，前提必须是要能读取

管理员登录后，对文件夹添加更改权限

切换用户张三登录，发现：只能查看

• 不能重命名

• 不能修改文件夹中内容

但是现在可以对张三的权限进行编辑：给自己一个完全控制

只给一个更改权限

切换用户张三登录：

• 首先肯定无法访问该文件夹

• 无法访问控制列表（因为没有读取权限）

• 获得所有权

  • 能够修改文件或文件夹的所有者

  • 要想取得所有权，前提必须是读取和修改

案例

只给读取权限和获得所有权

切换用户张三登录

无法更改权限，无法获得所有权（必须得有更改权限）