Как скопировать права логина windows

Как скопировать права логина windows

Рисунок 9-10. Используйте диалоговое окно Копировать (Copy To), чтобы указать расположение каталога профиля и выдать пользователю разрешения на доступ.
4. Теперь нужно выдать пользователю разрешения на доступ к профилю. Нажмите кнопку Изменить (Change) в области Разрешить использование (Permitted To Use), а затем используйте диалоговое окно Выбор: Пользователь или Группа (Select User Or Object), чтобы выдать новой учетной записи необходимые разрешения.
5. Нажмите кнопку OK, чтобы закрыть диалоговое окно Копировать и тем самым дать операционной системе команду на копирование профиля в указанное расположение.

Совет. Если Вы хотите использовать определенное имя пользователя или группы, введите его непосредственно в поле Имя. Это сэкономит Вам время.

Копирование или восстановление профиля
При обслуживании рабочих групп, где каждый компьютер управляется отдельно, Вам часто придется копировать локальный профиль пользователя с одного компьютера на другой. Копирование профиля позволяет пользователям работать с привычными настройками на различных компьютерах. Безусловно, в домене Windows 2000 Вы можете использовать перемещаемый профиль в виде единого профиля, который доступен в пределах всего домена. Впрочем, иногда Вам может понадобиться скопировать существующий локальный профиль поверх перемещаемого профиля пользователя (в случаях, когда последний поврежден) или может возникнуть необходимость в копировании существующего локального профиля в перемещаемый профиль другого домена.

Вы можете скопировать существующий профиль в новое расположение следующим образом:
1. Войдите в систему на компьютере пользователя, из панели управления запустите компонент Система (System) и перейдите на вкладку Профили пользователей (User Profiles).
2. Из списка Профили, хранящиеся на этом компьютере (Profiles Stored On This Computer) выберите существующий профиль, который вы желаете скопировать.
3. Скопируйте профиль в новую учетную запись, нажав кнопку Копировать (Copy To). Затем введите путь к папке профиля нового пользователя в поле Копировать профиль на (Copy Profile To). Например, создавая профиль для пользователя JANEW, Вы бы ввели такой путь: \\GAMMA\USERPROFILES\JANEW.
4. Теперь нужно выдать пользователю разрешения на доступ к профилю. Нажмите кнопку Изменить (Change) в области Разрешить использование (Permitted To Use), а затем используйте диалоговое окно Выбор: Пользователь или Группа (Select User Or Object), чтобы выдать новой учетной записи необходимые разрешения.
5. Нажмите кнопку OK, чтобы закрыть диалоговое окно Копировать и дать Windows 2000 команду на копирование профиля в указанное расположение.

Как задать, скопировать и восстановить NTFS разрешения с помощью ICACLS?

12.05.2021
itpro
Windows 10, Windows Server 2016
комментариев 12

Для управления NTFS разрешениями в Windows можно использовать встроенную утилиту iCACLS. Утилита командной строки icacls.exe позволяет получить или изменить списки управления доступом (ACL — Access Control Lists) на файлы и папки на файловой системе NTFS. В этой статье мы рассмотрим полезные команды управления ntfs разрешениями в Windows с помощью icacls.

Просмотр и изменения NTFS прав на папки и файлы с помощью icacls

Текущие права доступа к любому объекту на NTFS томе можно вывести так:

Команда вернет список пользователей и групп, которым назначены права доступа. Права указываются с помощью сокращений:

• F – полный доступ
• M – изменение
• RX – чтение и выполнение
• R – только чтение
• W – запись
• D – удаление

Перед правами доступа указаны права наследования (применяются только к каталогам):

• (OI)— наследование объектами
• (CI)— наследование контейнерами
• (IO)— только наследование
• (I)– разрешение унаследовано от родительского объекта

С помощью icacls вы можете изменить права доступа на папку.

Чтобы предоставить группе fs01_Auditors домена resource права чтения и выполнения (RX) на каталог, выполните:

icacls ‘C:\Share\Veteran\’ /grant resource\fs01_Auditors:RX

Чтобы удалить группу из ACL каталога:

icacls ‘C:\Share\Veteran\’ /remove resource\fs01_Auditors

С помощью icacls вы можете включить наследование NTFS прав с родительского каталога:

icacls ‘C:\Share\Veteran\’ /inheritance:e

Или отключить наследование с удалением всех наследованных ACEs:

icacls ‘C:\Share\Veteran\’ /inheritance:r

Также icacls можно использовать, чтобы изменить владельца файла или каталога:

icacls ‘C:\Share\Veteran\’ /setowner resource\a.ivanov /T /C /L /Q

Бэкап (экспорт) текущих NTFS разрешений каталога

Перед существенным изменением разрешений (переносе, обновлении ACL, миграции ресурсов) на NTFS папке (общей сетевой папке) желательно создать резервную копию старых разрешений. Данная копия позволит вам вернуться к исходным настройкам или хотя бы уточнить старые права доступа на конкретный файл/каталог.

Для экспорта/импорта текущих NTFS разрешений каталога вы также можете использовать утилиту icacls. Чтобы получить все ACL для конкретной папки (в том числе вложенных каталогов и файлов), и экспортировать их в текстовый файл, нужно выполнить команду

icacls ‘C:\Share\Veteran’ /save c:\ps\veteran_ntfs_perms.txt /t /c

В зависимости от количества файлов и папок, процесс экспорта разрешений может занять довольно продолжительное время. После окончания выполнения команды отобразится статистика о количестве обработанных и пропущенных файлов.

Откройте файл veteran_ntfs_perms.txt с помощью любого текстового редактора. Как вы видите, он содержит полный список папок и файлов в каталоге, и для каждого указаны текущие разрешения в формате SDDL (Security Descriptor Definition Language).

К примеру, текущие NTFS разрешения на корень папки такие:

Данная строка описывает доступ для нескольких групп или пользователей. Мы не будем подробно углубляться в SDDL синтаксис (при желании справку по нему можно найти на MSDN, или вкратце формат рассматривался в статье об управлении правами на службы Windows). Мы для примера разберем небольшой кусок SDDL, выбрав только одного субъекта:

A – тип доступа (Allow)

OICI – флаг наследования (OBJECT INHERIT+ CONTAINER INHERIT)

FA – тип разрешения (SDDL_FILE_ALL – все разрешено)

S-1-5-21-2340243621-32346796122-2349433313-24109193 – SID учетной записи или группы в домене, для которой заданы разрешения. Чтобы преобразовать SID в имя учетной записи или группы, воспользуйтесь командой:

$objSID = New-Object System.Security.Principal.SecurityIdentifier («S-1-5-21-2340243621-32346796122-2349433313-24109193»)
$objUser = $objSID.Translate( [System.Security.Principal.NTAccount])

Таким образом, мы узнали, что пользователь corp\dvivan обладал полными правами (Full Control) на данный каталог.

Восстановление NTFS разрешений с помощью iCacls

С помощью ранее созданного файла veteran_ntfs_perms.txt вы можете восстановить NTFS разрешения на каталог. Чтобы задать NTFS права на объекты в каталоге в соответствии со значениями в файле с резервной копией ACL, выполните команду:

icacls C:\share /restore c:\PS\veteran_ntfs_perms.txt /t /c

По окончанию восстановления разрешений также отобразится статистика о количестве обработанных файлов:

С учетом того, что в резервной копии ACL указываются относительные, а не абсолютные пути к файлам, вы можете восстановить разрешения в каталоге даже после его перемещения на другой диск/каталог.

Сброс NTFS разрешений в Windows

С помощью утилиты icacls вы можете сбросить текущие разрешения на указанный файл или каталог (и любые вложенные объекты):

icacls C:\share\veteran /reset /T /Q /C /RESET

Данная команда включит для указанного объекта наследование NTFS разрешений с родительского каталога, и удалит любые другие права.

Копирование NTFS прав между папками

Вы можете использовать текстовый файл с резервной копией ACL для копирования NTFS разрешений с одного каталога на другой/

Сначала создайте бэкап NTFS разрешений корня папки:

icacls ‘C:\Share\Veteran’ /save c:\ps\save_ntfs_perms.txt /c

А замет примените сохраненные ACL к целевой папке:

icacls e:\share /restore c:\ps\save_ntfs_perms.txt /c

Это сработает, если исходная и целевая папка называются одинаково. А что делать, если имя целевой папки отличается? Например, вам нужно скопировать NTFS разрешения на каталог E:\PublicDOCS

Проще всего открыть файл save_ntfs_perms.txt в блокноте и отредактировать имя каталога. С помощью функции Replace замените имя каталога Veteran на PublicDOCS.

Затем импортируйте NTFS разрешения из файла и примените их к целевому каталогу:

icacls e:\ /restore c:\ps\save_ntfs_perms.txt /c

Get-Acl -Path ‘C:\Share\Veteran’ | Set-Acl -Path ‘E:\PublicDOCS’

Предыдущая статья Следующая статья

alt=»Компьютер неожиданно перезагрузился, или возникла непредвиденная ошибка. Невозможно продолжить установку Windows» width=»58″ height=»56″ /> Компьютер неожиданно перезагрузился, или возникла непредвиденная ошибка
alt=»компьютеры появились в сетевом окружении win 10″ width=»58″ height=»56″ /> Windows не видит компьютеры в сетевом окружении
alt=»Windows 10 не может получить доступ ошибка 0x80070035 Не найден сетевой путь» width=»58″ height=»56″ />Ошибка 0x80070035: Не найден сетевой путь в Windows 10
alt=»The Boot Configuration Data file is missing some required information» width=»58″ height=»56″ />Восстановление загрузчика BCD и записи MBR в Windows 10/ 11

Если не нужно специальных «извращений» с правами, то можно воспользоваться и предыдущей, более простой и удобной утилитой — cacls.exe, которая все еще входит в состав Windows

Возможно ее вывод разрешений и проще чем у icacls, но вот экспорт, импорт разрешений и рекурсию она все же не поддерживает.

И да, я же написал
«Если не нужно специальных «извращений» с правами»

cacls.exe освоить в разы проще/ Правд. если дружишь с правильным текстовым редактором, а не с ГУЁвым.
Экспорт/Импорт — в чем проблема?
Экспорт — переадресация вывода в файл
Импорт — запуск bat-ника после обработки в FAR (любом редакторе с макросами)

Правда сегодняшние «новички» они все больше «мышиные» (ГУЁ-вые) пользователи �� А не админы ��

Админ обязан уметь писать батники любой сложности.
А уж из регулярной структуры, которую выдает cacls, слепить батник в FAR’е, с использованием макросов, проще простого

Спасибо за статью.
Вопрос — прокатал процедуру на одном из своих фс. из 1,5 млн. файлов около 1600 в ошибке. Как можно узнать что это за файлы?

Утилита ICACLS выводит довольно подробный лог. Добавьте атрибут /q (не будут выводится сообщения об успешных операциях) и перенаправьте вывод в текстовый файл:
icacls D:\Share /save c:\ps\share_ntfs_perms.txt /t /c /q >>c:\ps\icacls.log

А что если путь к файлу превышает 256 символов, как обойти ограничение?

Строить фалйовое хранилище на Windows 10 …. О! Это что-то запредельное �� Поэтому отключили там ограничение или нет, не так существенно. ��

Жаль у icacls не хватает одного ключа. Сохранять разрешения только для папок. Файлы, то так и так вложенные получать теже самые разрешения, что и у их папки. Я не быру в расчет «странные» разрешения на файл.папки внутри папки, отличные от нее самой (кроме прав на корневую)
А старый вариант cacls не умеет ходить по вложенным папкам.
В итоге выкручиваемся используя оба средства ��

icacls не сохраняет ВЛАДЕЛЬЦЕВ, банально в SDDL-строках отсутствует O:S-1-……… как можно заметить, а при /restore тогда «Отказано в доступе!». А с cacls и подавно…

Когда в свойствах файла во вкладке Безопасность такое:
«У вас нет разрешения на просмотр текущих разрешений для этого объекта»;

Не удалось отобразить текущего владельца.

а так же в колонке «Владелец» (System.FileOwner или <9B174B34-40FF-11D2-A27E-00C04FC30871>,4) проводника пустое значение напротив объекта — короче говоря, нет прав READ_CONTROL (RC или 0x00020000) — придётся вслепую менять владельца (чтобы сохранить разрешения), если кнопка [Изменить] так же недоступна (даже icacls …… /grant *S-1-5-32-544:(RC) не удалось обработать ……
cacls …… /E /G Администраторы:F — Отказано в доступе).
А если [Изменить] разрешения всё-таки позволяет (не показывая владельца), то тут уже сразу сужается круг предположительного владельца.

А ещё, как же «обязательная метка уровня неприкасаемости» (Mandatory Integrity Label)?
Интересная штука SDDLGen.exe с SDK-пакета — можно загрузить ключ реестра/папку и увидеть не только владельца (если запущено с соотетствующими правами) и аудиты, но даже группу и «уровни целостности»! Что-то мне захотелось увидеть такую колонку в проводнике…
Помимо папок/файлов/ключей реестра хотелось бы ещё управлять параметрами безопасности
• журналов = wevtutil set-log … /channelaccess:…;
• служб = sc sdshow | sc sdset (или только задавать .inf-политикой в MMC\Шаблоны безопасности\Системные службы) и устройств;
ну и хранящихся в REG_BINARY / REG_NONE такие параметры безопасности:
‼ «Службы компонентов\Настройки DCOM\» [HKCR\AppID\<……>\]
LaunchPermission и AccessPermission; хорошо, что «Разрешения на изменение настроек» = Power sH ell Get-ACL -Path hklm:\software\classes\appid\ <……>| format-list ;
‼ «Поставщики отслеживания» и сами «Группы сборщиков данных» (что в perfmon.msc) — [HKLM\SYSTEM\CurrentControlSet\Control\WMI\Security];
• принтеры [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Print\Printers];
• общие файлы [HKLM\SYSTEM\CurrentControlSet\services\LanmanServer\Shares\Security];
думаю, это ещё далеко не всё перечисленное, ведь в реестре могут содержаться и любые другие двоичные параметры, значения которых напоминают ACE`шки… А вот «Назначение прав пользователя» (что с secpol.msc) совсем на ACE не похоже [HKLM\SECURITY\Policy\Accounts\…\Privilgs] — тут уже лучше .inf файлом в секции [Privilege Rights] (что даже удобнее любого другого редактора – главное не промахнуться и подписать нужный SID пользователя/группы в нужную Se…привилегию, а то можно случайно воткнуть в SeDenyInteractiveLogonRight вместо SeDenyRemoteInteractiveLogonRight)…
Хотя вот с принтерами и общими файлами можно было и в SubInACL…

Кстати, в %AllUsersProfile%\Microsoft\Windows\WER\ReportQueue приписана «недобавляемая с GUI» учётная запись NT AUTHORITY\ЗАПИСЬ ОГРАНИЧЕНА (даже с *S-1-5-33 не прокатывает)! Но хуже всего, что для её восстановления в Системном мониторе\Группы сборщиков данных\Сеансы отслеживания событий запуска нужно:
а) сохранять весь EventLog-Application например в XML`ку и исправить единственную SDDL-строку <Security> O:BAG:BAD:(A;;0x200;;;SY)(A;;0x200;;;BA)(A;;0x200;;;SO)(A;;0x200;;;IU)(A;;0x200;;;SU)(A;;0x200;;;S-1-5-3)(A;;0x200;;;WR)(A;;0xffff;;;SY)(A;;0xff7f;;;BA)(A;;0xffff;;;S-1-5-80-880578595-1860270145-482643319-2788375705-1540778122) </Security>, где A;;0x200;;;WR и есть та самая ЗАПИСЬ ОГРАНИЧЕНА с разрешением TRACELOG_LOG_EVENT
б) Исправлять конкретный REG_BINARY в HKLM\SYSTEM\CurrentControlSet\WMI\Security (расшифровку нужного ID в соседнем ключе; а имена вписанных туда Event Trace Providers в HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Publishers)

Перенос прав пользователей с одного сервера на другой. Как выгрузить права в файл?

Есть сервер fs01(не в домене) с общей папкой(права даны группам). Есть контроллер домена dc1. На fs01 заведены пользователи и группы. На dc1 заведены абсолютно такие же пользователи и группы. Нужно fs01 включить в домен, удалить(отключить) пользователей и чтобы права на папки уже были у доменных пользователей точно такие же как и у локальных дублей этих пользователей. В общем какими средствами(крипт) считать права на папки и вложенные файлы в файл, поправить в этом файле пользователей на доменных и назначить обратно на общую папку?

Как скопировать права логина windows

Лучший отвечающий

Вопрос

Добрый день коллеги, имею Sharepoint 2010 с последним SP и заплатками. Имеем большое количество сотрудников. Права на Sharepoint раздаются как через группы АД, так и через группы Sharepoint (самостоятельно бизнес пользователями). Появились запросы вида "Выдать вновь выходящему сотруднику, такие как у его коллеги Сидорова"

Вопрос: есть ли какой штатный механизм, который позволит корректно скопировать права пользователя А, пользователю Б, во всей коллекции веб сайтов ? Речь идет в первую очередь о группа Sharepoint, с AD проблем нет

Ответы

известный вопрос. я решил его так:

написал sql запрос, который мне выдает все права сотрудника в не читабельном для (как здесь принято говорить) "не ИТшника" виде.

и веб часть через который можно выдать права пользователю\группе хоть на все семейство, хоть на перечисленное множество, с рекурсией по дочерним узлам или без неё и аналогично по библиотекам.

долг выполнил — идею подал)))

• Изменено _-DFS-_ 2 мая 2012 г. 10:04
• Помечено в качестве ответа Hjn92 4 мая 2012 г. 5:56

Все ответы

Можно аналогично выдавать права группе SharePoint и добавлять в неё пользователей.

В данной случае, я бы рекомендовал определить роли пользователей, иначе хаос будет. "Дать права, такие же, как у Васи Пупкина" — плохо администрируемая задача. "Дать новой сотруднице роль Контроллер" — гораздо более понятная и легче администрируемая задача. В этом случае даже можно будет раздачу прав тем же бизнес пользователям отдать.

SharePoint MCPD, MCITP. Высказанное мною здесь — мои личные взгляды, а не позиции корпорации Microsoft. Вся информация предоставляется "как есть" без каких-либо гарантий.

• Предложено в качестве ответа Aviw_ 29 апреля 2012 г. 19:09

Добрый день, вы судите с позиции ИТшника.

Попробую обрисовать ситуацию: на портале есть множество разделов многих дирекций, часть пользователей достаточно продвинутые и миеют права владельцев в своих дирекциях (уровни директоров филиалов, департаментов и т.п.). На портале так же активно используется механизм создания рабочих групп и узлов проектов, где пользователи самостоятельно без помощи ИТ создают, выдают и делегируют другим сотрудникам необходимые права. То есть почти идиллия. но, всегда есть ротация кадров и ситуация когда сотрудник А, стал замещать сотрудника Б или когда директор, запрашивает, утверждает и это реально необходимо выдать права своему ассистенты далеко не редкость. По этому тут от ИТ требуеться всего две вещи: поддерживать работу портала и БЫСТРО выдавать права по аналогии с каким либо сотрудником.

• Изменено Hjn92 29 апреля 2012 г. 19:14

эм. Потом нужно будет забирать права, которые были "выданы по аналогии с каким либо сотрудником", когда кто-то перейдет на другую должность.

В то же время с такой моделью трудно будет внедрить ролевую систему прав. Проекты наверняка каждый раз будут разными и обнаружение общих для всех проектов ролевых моделей, а потом обучение руководителей проектов настройки состава ролей будет отдельным проектом.

Для принятия решения нужно более детально знать устройство и процессы внутри компании, поэтому в бизнес логики и правильности решения разбираться Вам самим.

Out of box в SharePoint’е таких механизмов нет. Как я понимаю, вам нужно копировать права на уровне коллекции сайтов. Дать одному пользователю точно такие же права как у другого. Причем, как я вижу, необходимо дать права не только на списки, но и на подсайты (узлы рабочих групп или проектов). Думаю, хорошим решением могло бы быть создание application page, ссылка на которую будет в Site Settings. В Application Page будут только поля для ввода логинов, что будет удобно для пользователей. В закулисной логике можно было бы подумать над возможностью не копировать права, а создавать группы и в них добавлять новых участников, ибо большое количество прав влияет на производительность.

SharePoint MCPD, MCITP. Высказанное мною здесь — мои личные взгляды, а не позиции корпорации Microsoft. Вся информация предоставляется "как есть" без каких-либо гарантий.