Управление правами доступа пользователей windows

Статья о разграничении прав доступа в операционных системах Windows: дискретном и мандатном. В статье рассматриваются разграничения прав доступа к папкам и файлам на уровне операционной системы Windows и с помощью Secret Net.

Дискретное разграничение прав доступа

Для того, что бы настроить правила безопасности для папок нужно воспользоваться вкладкой «Безопасность». В Windows XP эта вкладка отключена по умолчанию. Для ее активации нужно зайти в свойства папки (Меню «Сервис» -> «Свойства папки» ->  «Вид») и снять флажок «Использовать простой общий доступ к файлам».

Основные права доступа к папкам

В файловой системе NTFS в Windows XP существует шесть стандартных разрешений:

1. Полный доступ;
2. Изменить;
3. Чтение и выполнение;
4. Список содержимого папки;
5. Чтение;
6. Запись.

В Windows 10 нет стандартного разрешения «Список содержимого папки».

Эти разрешения могут предоставляться пользователю (или группе пользователей) для доступа к папкам и файлам. При этом право «Полный доступ» включат в себя все перечисленные права, и позволяет ими управлять.

Права доступа назначаются пользователю для каждого объекта (папки и файла). Для назначения прав нужно открыть меню «Свойства» и выбрать вкладку «Безопасность». После этого выбрать необходимо пользователя, которому будут назначаться разрешения.

Создайте папки по названиям разрешений, всего у вас будет 6 папок для Windows XP и для Windows 10. Я рассмотрю на примере Windows XP, на «десятке» вам будет проще. Скачайте папки по ссылке и скопируйте в них содержимое (не сами папки, а то, что в них находится).

Отройте вкладку «Безопасность» в свойствах папки «Список содержимого папки». У меня есть пользователь user, вы можете добавить своего. Для того, что бы изменить право на объект нужно выбрать пользователя и указать ему разрешение, в данном случае «Список содержимого папки». Затем нажмите «Применить» и «ОК».

По аналогии установите права для соответствующих папок.

После установки прав доступа проверьте их. Для этого войдите в операционную систему под пользователем, для которого устанавливали права, в моем случае это user.

«Список содержимого папки» — предоставляет возможность просмотра файлов и папок в текущем каталоге. То есть вы можете посмотреть, что есть в папке, но запустить и открыть ничего не получиться.

«Чтение» — предоставляет возможность открывать в папке все файлы, кроме исполняемых файлов (например, с расширением .exe).

«Чтение и выполнение» — предоставляет возможность открывать в данном каталоге все файлы.

«Запись» — предоставляет возможность добавления файлов в папку без права на доступ к вложенным в него объектам, в том числе на просмотр содержимого каталога.

«Изменить» — предоставляет возможность открывать и создавать (изменять) файлы в папке.

«Полный доступ» — предоставляет все возможности для работы с папкой и вложенными файлами, включая изменение разрешений.

Откройте каждую папку и проверьте, что разрешения выполняются.

Элементы разрешений на доступ

Каждое разрешение состоит из нескольких элементов, которые позволяют более гибко настраивать систему безопасности. Войдите в операционную систему под учетной записью администратора.

Просмотреть элементы разрешений на доступ можно, нажав на кнопку «Дополнительно» во вкладке «Безопасность» и выбрав любой элемент разрешений.

Поэкспериментируйте с элементами и проверьте, как они работаю.

Владелец файла

В файловой системе NTFS у каждого файла есть свой владелец. Владельцем файла является пользователь операционной системы. Он может управлять разрешениями на доступ к объекту независимо от установленных разрешений.

Узнать, какой пользователь является владельцем файла или папки можно на закладке «Владелец» в дополнительных параметрах безопасности.

Наследование прав доступа

В файловой системе NTFS поддерживается наследование разрешений. Если вы устанавливаете разрешение на папку, то оно наследуется для всех вложенных файлов и папок.

При любых изменениях разрешений на родительскую папку они меняются в дочерних (вложенных) файлах и каталогах.

Для изменения унаследованных разрешений нужно открыть вкладку «Разрешения» в дополнительных параметрах безопасности. Там же можно отключить наследование разрешений.

Запреты

Кроме установки разрешений в файловых системах можно устанавливать запреты. Например, вы можете разрешить чтение и выполнение, но запретить запись. Таким образом, пользователь для которого установлен запрет и разрешения сможет запустить исполняемый файл или прочитать текстовый, но не сможет отредактировать и сохранить текстовый файл.

В дополнительных параметрах безопасности можно посмотреть действующие разрешения и для конкретного пользователя.

Разграничение прав доступа с помощью Secret Net (на примере версии 5.1)

При использовании Secret Net доступ к файлам осуществляется, в случае если пользователю присваивается соответствующий уровень допуска. В примере я использую Windows XP с установленным программным продуктом Secret Net 5.1.

Первым делом нужно запустить локальные параметры безопасности от имени Администратора: «Пуск –> Программы –> Secret Net 5 –> Локальная политика безопасности».

Далее необходимо перейти в «Параметры Secret Net» –>  «Настройка подсистем» –> «Полномочное управление доступом: название уровней конфиденциальности».

Введите названия уровней. У меня это:

• Низший – Общедоступно.
• Средний – Конфиденциально.
• Высший – Секретно.

Настройка субъектов

Настройка субъектов в Secret Net производится в группе «Локальные пользователи и группы». Зайдите в меню «Пуск» –>  «Программы» –>  «Secret Net 5» –> «Управление компьютером» –>  «Локальные пользователи и группы» –> «Пользователи».

Что бы настроить права администратора нужно выбрать учетную запись «Администратор» и перейти на вкладку Secret Net 5. Установим уровень доступа «секретно».

Далее установите все флажки.

• Управление категориями конфиденциальности означает, что пользователь имеет право изменять категории конфиденциальности папок и файлов, а так же может управлять режимом наследования категорий конфиденциальности папок.
• Печать конфиденциальных документов означает, что пользователь может распечатывать конфиденциальные документы. Данная возможность появляется, если включен контроль печати конфиденциальных документов.
• Вывод конфиденциальной информации означает, что пользователь может копировать конфиденциальную информацию на внешние носители.

После установки всех флажков нажмите «Применить» и «ОК».

Создадим нового пользователя. Для этого нужно перейти «Локальные пользователи и Группы» –> «Пользователи». Создайте новых пользователей, я назову их «Конфиденциальный» и «Секретный». По аналогии с пользователем Администратор  установите для новых пользователей аналогичные уровни доступа и настройки как на рисунках ниже.

Настройка объектов

Та или иная категория конфиденциальности является атрибутом папки или файла. Изменения этих атрибутов производятся уполномоченными пользователями (в данном случае Администратором). Категория конфиденциальности может присваиваться новым файлам или папкам автоматически или по запросу.

Автоматическое присваивание категории конфиденциальности можно включить или отключить в окне настройки свойств папки. Этот параметр может редактировать только пользователь, у которого есть права на «Редактирование категорий конфиденциальности».

При этом стоит учесть, что категории конфиденциальности могут назначаться только папка и файлам в файловой системе NTFS. В случае если у пользователя нет такой привилегии, он может только повысить категорию конфиденциальности и только не выше своего уровня.

Попробуйте создать в паке новый файл или каталог, а после чего изменить ее уровень (повысить) и установить флажок «Автоматически присваивать новым файлам». У вас появиться окно «Изменение категорий конфиденциальности».

Выберите пункт «Присвоение категорий конфиденциальности всем файлам в каталоге» и нажмите «ОК» для присвоения категории конфиденциальности всем файлам кроме скрытых и системных файлов.

В случае если категория допуска пользователя выше чем категория конфиденциальности объект, то пользователь имеет право на чтение документа, но не имеет права изменять и сохранять документ.

Если пользователь с категорией «Общедоступно» попробует прочитать или удалить документ, то он получит соответствующие ошибки.

То есть пользователь не может работать с документами, у которых уровень конфиденциальности выше, чем у него.

Если вы зайдете под пользователем «Секретный» то вы сможете повысить уровень конфиденциальности файлов и работать с ними.

Не стоит забывать, что конфиденциальные файлы нельзя копировать в общедоступные папки, чтобы не допустить их утечки.

Контроль потоков данных

Контроль потоков данных используется для того, что бы запретить пользователям возможность понижения уровня конфиденциальности файлов.

Для этого нужно запустить «Локальные параметры безопасности»: «Пуск» – «Программы» –> «Secret Net 5» –>  «Локальная политика безопасности», затем перейти в группу «Параметры Secret Net» –>  «Настройки подсистем» и выбрать параметр  «Полномочное управление доступом: Режим работы» и включить контроль потоков. Изменения вступят в силу после перезагрузки компьютера.

Если зайти (после перезагрузки) под пользователем «Секретный» появиться выбор уровня конфиденциальности для текущего сеанса. Выберите секретный уровень.

Если вы откроете файл с уровнем «Конфиденциально», отредактируете его и попробуете сохранить под другим именем и в другую папку, то вы получите ошибку, так как уровень сеанса (секретный) выше, чем уровень файла (конфиденциальный) и включен контроль потоков данных.

На этом все, если у вас остались вопросы задавайте их в комментариях.

Every file and folder on Windows 11/10 has permission attributes. It gives you the authority to edit, read, write, execute, and modify it. It is relatively easy to change file and folder permissions in Windows 11/10. However, it depends on the specific criteria. In this post, we will show how you can change file and folder permissions in Windows 11/10.

I was talking about individual criteria that you need to meet. Those criteria are user authority or power. If you are an admin user, you can almost change anything in Windows. It includes the ability to modify files that are owned by others. However, if you are standard users, you are limited to changing files that only belong to you. In this post, we will discuss the following:

1. Types of Users and Permissions
2. Change Files and Folders Permissions which you own
3. Manage permission when sharing a file or folder with other users
4. Change Files and Folders Permissions which you DON’T own.

While it looks complicated, it is relatively easy to manage permissions. What you need to be careful about is the type of permissions.

1] Type of users in Windows & Permissions

While its not necessary, I think its a good idea that you know about this. There are broadly two types of users— local user accounts and local system accounts.

• Local user accounts include Administrators, Standard users, Child, and Guest account.
• Windows OS manages local System accounts. Accounts with a name such as System, Network service, Local service are all system accounts.

An Administrator can also take over System accounts as well or at least modify the file permissions along with other local user accounts.

Another essential thing, but you should know this. Some of these permissions will not be available for files.

• Full Control
• Modify
• Read and Execute
• List folder contents
• Read
• Write
• Special Permissions

2] Change File and Folder Permissions which you own in Windows 11/10

This section applies to all kinds of users. As long as you are managing files and folders which you won, there is not much of a problem. But at times, users have experienced that they are not able to edit files that they own or are created by them. Follow the steps to fix those problems.

• Right-click on any folder or file and click on Properties.
• Switch to Security tab, and you should see two sections
  • Group or usernames that have an ownership right on that file
  • Permissions for the selected user
• If you have trouble editing the file or copying files into that folder, then you need to change the permission. Click on the Edit button.
• It will open another window where you can select a user, and add missing permissions by checking the box against the type of permission.
• Once you are done, click on ok, and then apply the changes.

When changing permission for yourself, it is best to check on the box against Full Control. It will keep you off from any trouble you were having with the file or folder.

How to apply the same permission to subfolders and files

It only makes sense to have full control of all the files and folders inside it. Doing it one by one is cumbersome, and thats where you need to use the Advanced button.

• First, make sure to choose the set of permissions or Full control for the top folder
• Then go back to the Security tab, click on the Advanced button.
• Then select the user, which is yourself, and check the box which says—Replace all child object permission entries with inheritable permission entries from this object.
• Click on Apply and then Ok button.

In simple words, whatever the permission, the object, i.e. User, which in this case is you, will be applied to all files, and subfolders.

3] Manage permission when sharing a file or folder with other users

There can be multiple scenarios here:

• The file can be shared, but it cannot be modified.
• Folders shared with multiple users, but they are not allowed to delete the file or add any file.
• Some users are allowed to modify files while others can have read-only access.

Open the permission window by clicking on the Edit button. Next, select the user for which you want to modify. If the user is not there, you can add a new user by clicking on the Add button. It will open a search window which you can use to find the user. Add when you find it.

Once the user is available, select it and then assign appropriate permission. Select what you want to allow, and what you want to deny.  It is how you would assign for yourself, except that you are doing it for some other account.

4] Change Files and Folders Permissions which you DONT own

That is where ownership comes into the picture. If you do not own a folder or someone else has modified files in such a way, then you can change it. However, only an admin user can change it for you.

Follow our detailed guide to learn how to take ownership of files and folders which you don’t own.

It might be too much to grasp for once, but once you are through, there will be no confusion left. I hope you were able to understand it clearly.

PS: Attribute Changer lets you change file & folder attributes in Windows 11/10 easily.

В этой статье рассмотрим права и привилегии пользователей в системе. Вы узнаете где они устанавливаются и чем права отличаются от привилегий.

Назначение прав и привилегий

Привилегии — это возможность выполнять связанные с системой операции, например выключение компьютера или изменение системного времени.

Право — разрешает или запрещает выполнять конкретный тип входа в систему, например локальный или вход по сети.

Для того чтобы управлять привилегиями и правами, нужно использовать ММС-оснастку «Локальная политика безопасности» (secpol.msc). В этой оснастке можно настроить и права и привилегии для пользователей или групп. Вы можете различить права от привилегий тем, что права связаны со входом в систему, а привилегии не связаны.

Права учетной записи

Права хоть и находятся в одной и той же оснастке с привилегиями, но технически отличаются т привилегий. Они не связаны с монитором безопасности SRM и не хранятся в маркерах доступа в отличие от привилегий.

Возможные права:

• право локального входа в систему (logon locally);
• возможность входить в систему по сети (logon over the network);
• право входить в систему через службу терминалов (logon through Terminal Services);
• возможность входить в систему в качестве службы (logon as a service);
• возможность входить в систему в качестве пакетного задания (logon as a batch job).

Привилегии

Привилегии пользователя находятся в маркере доступа. А вот не полный список привилегий:

• Резервное копирование файлов и каталогов. Заставляет NTFS предоставлять некоторый доступ к файлам, даже если дескриптор безопасности не дает таких разрешений.
• Восстановление файлов и каталогов. Заставляет NTFS предоставлять некоторый доступ к файлам, даже если дескриптор безопасности не дает таких разрешений.
• Повышение приоритета планирования. Требуется для повышения приоритета процесса.
• Загрузка и выгрузка драйверов устройств.
• Добавление рабочих станций в домен.
• Выполнение операций сопровождения с томом. Например, выполнение дефрагментации или проверка диска.
• Изменение маркера объекта. Например, разрешает запуск программ от имени администратора.
• Управление аудитом и журналом безопасности. Необходимо для обращения к списку SACL.
• Выключение системы.
• Изменение системного времени.
• Получение прав владения. Для файлов и других объектов.

Включение привилегий по требованию

Привилегии включаются по требованию, чтобы понять это, проведем эксперимент.

Запустите Process Explorer с повышенными привилегиями. А затем щелкните правой кнопкой мыши на часах в области уведомлений и выберите команду «Настройка даты и времени«. После чего найдите и откройте свойства процесса «SystemSettings.exe» в «Process Explorer«.

Далее, перейдите на вкладку «Security» и там вы увидите, что привилегия «SeTimeZonePrivilege» отключена:

Затем измените часовой пояс, закройте и снова откройте окно свойств процесса » SystemSettings.exe «. И вы увидите, что привилегия «SeTimeZonePrivilege» включилась:

Получается что процесс может иметь какую-то привилегию, но пока он ей не воспользуется, привилегия будет в выключенном состоянии.

Привилегия обхода промежуточных проверок NTFS

А теперь разберём ещё одну интересную привилегию. Она позволяет получить доступ к файлу, даже если у вас нет доступа к папке в которой этот файл находится. Такая привилегия называется SeNotifyPrivilege.

Во-первых создайте папку, а внутри этой папки создайте новый текстовый документ. Затем перейдите в Проводнике к этому файлу, откройте его свойства и перейдите на вкладку «Безопасность«. Там щелкните на кнопке «Дополнительно» и снимите флажок «Наследование«. А затем примените изменения. Когда появится предложение удалить или скопировать права наследования, выберите «Копировать«.

Теперь измените безопасность новой папки, чтобы у вашей учетной записи не было никакого доступа к ней. Для этого выберите свою учетную запись, а затем выберите все флажки «Запретить» в списке разрешений.

Запустите программу «Блокнот«. В меню «Файл» выберите команду «Открыть» и перейдите к новому каталогу. Вы не сможете открыть его, так как доступ быть запрещен. Но вы можете в поле «Имя файла» диалогового окна «Открыть» набрать полный путь к новому файлу. После чего файл должен открыться.

Если бы у вашей учетной записи не было «Привилегии обхода промежуточных проверок«, то NTFS выполнял бы проверки доступа к каждому каталогу пути при попытке открыть файл. Что в данном примере привело бы к запрещению доступа к файлу.

Супер привилегии

Это очень серьёзные привилегии и при включенной системе UAC они будут предоставляться только приложениям запущенным на высоком уровне целостности ( high или выше). Ну и конечно учетная запись должна обладать этими привилегиями.

Вот список таких супер привилегий:

• Проводить отладку программ. Пользователь с этой привилегией может открывать любой процесс в системе, не обращая внимания на имеющийся у процесса дескриптор безопасности. И может не только смотреть содержимое памяти процесса, но и выполнить свой код от имени этого процесса.
• Приобретать права владения. Эта привилегия позволяет приобретать права владения любым объектом в системе.
• Восстанавливать файлы и каталоги. Пользователь, получивший эту привилегию, может заменять любые файлы в системе своими собственными файлами.
• Загружать и выгружать драйверы устройств. Такая привилегия позволит загрузить в систему любой драйвер, который будет работать в режиме ядра.
• Создавать объект маркера. Эта привилегия может использоваться, чтобы запустить приложение с любым маркером доступа.
• Действовать в качестве части операционной системы. Эта привилегия позволяет устанавливать доверенное подключение к LSASS, что даст возможность создавать новые сеансы входа в систему.

Помимо всего прочего, следует помнить, что привилегии не выходят за границы одной машины и не распространяются на сеть.

---

Вернуться к оглавлению

Права доступа к файлам и папкам простым языком.

На просторах России много фирм и мелких предприятий не имеют в штате своего системного администратора на постоянной основе или приходящего время от времени. Фирма растёт и рано или поздно одной расшаренной папки в сети, где каждый может делать что захочет, становится мало. Требуется разграничение доступа для разных пользователей или групп пользователей на платформе MS Windows. Линуксоидов и опытных админов просьба не читать статью.

Самый лучший вариант — взять в штат опытного админа и задуматься о покупке сервера. Опытный админ на месте сам решит: поднимать ли MS Windows Server с Active Directory или использовать что-то из мира Linux.

Но данная статья написана для тех, кто решил пока мучаться самостоятельно, не применяя современные программные решения. Попытаюсь объяснить хотя бы как правильно реализовывать разграничение прав.

Прежде чем начать хотелось бы разжевать пару моментов:

• Любая операционная система «узнаёт» и «различает» реальных людей через их учётные записи. Должно быть так: один человек = одна учётная запись.
• В статье описывается ситуация, что в фирме нет своего админа и не куплен, к примеру, MS Windows Server. Любая обычная MS Windows одновременно обслуживает по сети не более 10 для WinXP и 20 человек для Win7. Это сделано фирмой Microsoft специально, чтобы клиентские Windows не перебегали дорогу серверам Windows и вы не портили бизнес Microsoft. Помните число 10-20 и когда в вашей фирме будет более 10-20 человек, вам придётся задуматься о покупке MS Windows Server или попросить кого-либо поднять вам бесплатный Linux Samba сервер, у которого нет таких ограничений.
• Раз у вас нет грамотного админа, то ваш обычный комп с клиентской MS Windows будет изображать из себя файловый сервер. Вы вынуждены будете продублировать на нём учётные записи пользователей с других компьютеров, чтобы получать доступ к расшаренным файлам. Другими словами, если есть в фирме ПК1 бухгалтера Оли с учётной записью olya, то и на этом «сервере» (именую его в дальнейшем как WinServer) нужно создать учётную запись olya с таким же паролем, как и на ПК1.
• Люди приходят и уходят. Текучесть кадров есть везде и если вы, тот бедный человек, который не админ и назначен (вынужден) поддерживать ИТ вопросы фирмы, то вот вам совет. Делайте учётные записи, не привязанные к личности. Создавайте для менеджеров — manager1, manager2. Для бухгалтеров — buh1, buh2. Или что-то подобное. Ушёл человек? Другой не обидится, если будет использовать manager1. Согласитесь это лучше, чем Семёну использовать учётную запись olya, так как влом или некому переделывать и уже всё работает 100 лет.
• Забудьте такие слова как: «сделать пароль на папку». Те времена, когда на ресурсы накладывался пароль давным давно прошли. Поменялась философия работы с различными ресурсами. Сейчас пользователь входит в свою систему с помощью учётной записи (идентификация), подтверждая себя своим паролем (аутентификация) и ему предоставляется доступ ко всем разрешённым ресурсам. Один раз вошёл в систему и получил доступ ко всему — вот что нужно помнить.
• Желательно выполнять нижеперечисленные действия от встроенной учётной записи Администратор или от первой учётной записи в системе, которая по умолчанию входит в группу Администраторы.

Приготовление.

В Проводнике уберите упрощённый доступ к нужным нам вещам.

• MS Windows XP. Меню Сервис — Свойства папки — Вид. Снять галочку Использовать мастер общего доступа
• MS Windows 7. Нажмите Alt. Меню Сервис — Параметры папок — Вид. Снять галочку Использовать простой общий доступ к файлам.

Создайте на вашем компьютере WinServer папку, которая будет хранить ваше богатство в виде файлов приказов, договоров и так далее. У меня, как пример, это будет C:\dostup\. Папка обязательна должна быть создана на разделе с NTFS.

Доступ по сети.

На данном этапе нужно выдать в доступ по сети (расшарить — share) папку для работы с ней другими пользователями на своих компьютерах данной локальной сети.

И самое главное! Выдать папку в доступ с полным разрешением для всех! Да да! Вы не ослышались. А как же разграничение доступа?

Мы разрешаем по локальной сети всем подсоединяться к папке, НО разграничивать доступ будем средствами безопасности, сохраняемые в файловой системе NTFS, на которой расположена наш каталог.

• MS Windows XP. На нужной папке (C:\dostup\) правой клавишей мыши и там Свойства. Вкладка Доступ — Открыть общий доступ к этой папке. Заполняем Примечание. Жмём Разрешение. Группа Все должна иметь по сети право Полный доступ.
• MS Windows 7. На нужной папке (C:\dostup\) правой клавишей мыши и там Свойства. Вкладка Доступ — Расширенная настройка. Ставим галочку Открыть общий доступ к этой папке. Заполняем Примечание. Жмём Разрешение. Группа Все должна иметь по сети право Полный доступ.

Пользователи и группы безопасности.

Нужно создать необходимые учётные записи пользователей. Напоминаю, что если на многочисленных ваших персональных компьютерах используются различные учётные записи для пользователей, то все они должны быть созданы на вашем «сервере» и с теми же самыми паролями. Этого можно избежать, только если у вас грамотный админ и компьютеры в Active Directory. Нет? Тогда кропотливо создавайте учётные записи.

• MS Windows XP. Панель Управления — Администрирование — Управление компьютером.
  Локальные пользователи и группы — Пользователи. Меню Действие — Новый пользователь.
• MS Windows 7. Панель Управления — Администрирование — Управление компьютером.
  Локальные пользователи и группы — Пользователи. Меню Действие — Создать пользователя.

Теперь очередь за самым главным — группы! Группы позволяют включать в себя учётные записи пользователей и упрощают манипуляции с выдачей прав и разграничением доступа.

Чуть ниже будет объяснено «наложение прав» на каталоги и файлы, но сейчас главное понять одну мысль. Права на папки или файлы будут предоставляться группам, которые образно можно сравнить с контейнерами. А группы уже «передадут» права включённым в них учётным записям. То есть нужно мыслить на уровне групп, а не на уровне отдельных учётных записей.

• MS Windows XP. Панель Управления — Администрирование — Управление компьютером.
  Локальные пользователи и группы — Группы. Меню Действие — Создать группу.
• MS Windows 7. Панель Управления — Администрирование — Управление компьютером.
  Локальные пользователи и группы — Группы. Меню Действие — Создать группу.

Нужно включить в нужные группы нужные учётные записи. Для примера, на группе Бухгалтеры правой клавишей мыши и там Добавить в группу или Свойства и там кнопка Добавить. В поле Введите имена выбираемых объектов впишите имя необходимой учётной записи и нажмите Проверить имена. Если всё верно, то учётная запись изменится к виду ИМЯСЕРВЕРА\учётная_запись. На рисунке выше, учётная запись buh3 была приведена к WINSERVER\buh3.

Итак, нужные группы созданы и учётные записи пользователей включены в нужные группы. Но до этапа назначения прав на папках и файлах с помощью групп хотелось бы обсудить пару моментов.

Стоит ли заморачиваться с группой, если в ней будет одна учётная запись? Считаю, что стоит! Группа даёт гибкость и маневренность. Завтра вам понадобится ещё одному человеку Б дать те же права, что и определённому человеку с его учётной записью А. Вы просто добавите учётную запись Б в группу, где уже имеется А и всё!

Намного проще, когда права доступа выданы группам, а не отдельным персонам. Вам остаётся лишь манипулировать группами и включением в них нужных учётных записей.

Права доступа.

Желательно выполнять нижеперечисленные действия от встроенной учётной записи Администратор или от первой учётной записи в системе, которая по умолчанию входит в группу Администраторы.

Вот и добрались до этапа, где непосредственно и происходит магия разграничения прав доступа для различных групп, а через них и пользователям (точнее их учётным записям).

Итак, у нас есть директория по адресу C:\dostup\, которую мы уже выдали в доступ по сети всем сотрудникам. Внутри каталога C:\dostup\ ради примера создадим папки Договора, Приказы, Учёт МЦ. Предположим, что есть задача сделать:

• папка Договора должна быть доступна для Бухгалтеров только на чтение. Чтение и запись для группы Менеджеров.
• папка УчётМЦ должна быть доступна для Бухгалтеров на чтение и запись. Группа Менеджеров не имеет доступа.
• папка Приказы должна быть доступна для Бухгалтеров и Менеджеров только на чтение.

На папке Договора правой клавишей и там Свойства — вкладка Безопасность. Мы видим что какие-то группы и пользователи уже имеют к ней доступ. Эти права были унаследованы от родителя dostup\, а та в свою очередь от своего родителя С:

Мы прервём это наследование прав и назначим свои права-хотелки.

Жмём кнопку Дополнительно — вкладка Разрешения — кнопка Изменить разрешения.

Сначала прерываем наследование прав от родителя. Снимаем галочку Добавить разрешения, наследуемые от родительских объектов. Нас предупредят, что разрешения от родителя не будут применяться к данному объекту (в данном случае это папка Договора). Выбор: Отмена или Удалить или Добавить. Жмём Добавить и права от родителя останутся нам в наследство, но больше права родителя на нас не будут распространяться. Другими словами, если в будущем права доступа у родителя (папка dostup) изменить — это не скажется на дочерней папке Договора. Заметьте в поле Унаследовано от стоит не унаследовано. То есть связь родитель — ребёнок разорвана.

Теперь аккуратно удаляем лишние права, оставляя Полный доступ для Администраторов и Система. Выделяем по очереди всякие Прошедшие проверку и просто Пользователи и удаляем кнопкой Удалить.

Кнопка Добавить в данном окне Дополнительные параметры безопасности предназначена для опытных админов, которые смогут задать особые, специальные разрешения. Статья же нацелена на знания опытного пользователя.

Мы ставим галочку Заменить все разрешения дочернего объекта на разрешения, наследуемые от этого объекта и жмём Ок. Возвращаемся назад и снова Ок, чтобы вернуться к простому виду Свойства.

Данное окно позволит упрощённо достигнуть желаемого. Кнопка Изменить выведет окно «Разрешения для группы».

Жмём Добавить. В новом окне пишем Бухгалтеры и жмём «Проверить имена» — Ок. По умолчанию даётся в упрощённом виде доступ «на чтение». Галочки в колонке Разрешить автоматически выставляются «Чтение и выполнение», «Список содержимого папки», «Чтение». Нас это устраивает и жмём Ок.

Теперь по нашему техническому заданию нужно дать права на чтение и запись для группы Менеджеры. Если мы в окне Свойства, то снова Изменить — Добавить — вбиваем Менеджеры — Проверить имена. Добавляем в колонке Разрешить галочки Изменение и Запись.

Теперь нужно всё проверить!

Следите за мыслью. Мы приказали, чтобы папка Договора не наследовала права от свого родителя dostup. Приказали дочерним папкам и файлам внутри папки Договора наследовать права от неё.

На папку Договора мы наложили следующие права доступа: группа Бухгалтеры должна только читать файлы и открывать папки внутри, а группа Менеджеры создавать, изменять файлы и создавать папки.

Следовательно, если внутри директории Договора будет создаваться файл-документ, на нём будут разрешения от его родителя. Пользователи со своими учётными записями будут получать доступ к таким файлам и каталогам через свои группы.

Зайдите в папку Договора и создайте тестовый файл договор1.txt

На нём щелчок правой клавишей мыши и там Свойства — вкладка Безопасность — Дополнительно — вкладка Действующие разрешения.

Жмём Выбрать и пишем учётную запись любого бухгалтера, к примеру buh1. Мы видим наглядно, что buh1 получил права от своей группы Бухгалтеры, которые обладают правами на чтение к родительской папке Договора, которая «распространяет» свои разрешения на свои дочерние объекты.

Пробуем manager2 и видим наглядно, что менеджер получает доступ на чтение и запись, так как входит в группу Менеджеры, которая даёт такие права для данной папки.

Абсолютно так же, по аналогии с папкой Договора, накладываются права доступа и для других папок, следуя вашему техническому заданию.

Итог.

• Используйте разделы NTFS.
• Когда разграничиваете доступ на папки (и файлы), то манипулируйте группами.
• Создавайте учётные записи для каждого пользователя. 1 человек = 1 учётная запись.
• Учётные записи включайте в группы. Учётная запись может входить одновременно в разные группы. Если учётная запись находится в нескольких группах и какая-либо группа что-то разрешает, то это будет разрешено учётной записи.
• Колонка Запретить (запрещающие права) имеют приоритет перед Разрешением. Если учётная запись находится в нескольких группах и какая-либо группа что-то запрещает, а другая группа это разрешает, то это будет запрещено учётной записи.
• Удаляйте учётную запись из группы, если хотите лишить доступа, которого данная группа даёт.
• Задумайтесь о найме админа и не обижайте его деньгами.

Задавайте вопросы в комментариях и спрашивайте, поправляйте.

Видеоматериал показывает частный случай, когда нужно всего лишь запретить доступ к папке, пользуясь тем, что запрещающие правила имеют приоритет перед разрешающими правила.

Дополнительные материалы:
Как связать Microsoft Access с MySQL.

Дата последней правки: 2015-12-01 09:57:26

Установите отметку напротив пункта «Отключить учетную запись».

Такими способами можно легко включить или отключить учетную запись администратора, а также добавить или снять с пользователя привилегии.

Отблагодарите автора, поделитесь статьей в социальных сетях.

Как управлять учетными записями Windows 10?

С целью повышения безопасности работы за компьютером пользователям рекомендуется создать учётную запись с ограниченными правами. Таким образом вредоносное программное обеспечение и неопытные юзеры будут ограничены в возможностях изменять системные файлы. Управление учетными записями в Windows 10 позволяет изменять уровни доступа юзеров. Рассмотрим, как это осуществляется.

Метод №1

Первым рассмотрим классический метод, которого достаточно в большинстве случаев.

2. Переключите режим отображения её иконок в «Мелкие значки».

3. Перейдите в раздел, как показано на скриншоте ниже.

4. Откройте меню управления иной учётной записью.

5. Выберите профиль, для которого нужно изменить уровень доступа (сделать администратором или же ограничить права).

6. Перейдите в окно изменения типа профиля.

7. Перенесите переключатель в нужное положение, чтобы внести изменения в системный реестр.

Метод №2

Второй способ – через Параметры системы.

1. Зажмите кнопки Win + I и перейдите в раздел для настройки пользователей.

2. Посетите подраздел «Семья, другие пользователи».

4. Укажите уровень доступа в выпадающем списке и жмите «OK».

Метод №3

Командная строка позволяет выполнить абсолютно всё, что пользователю доступно через графический интерфейс.

1. Запустите инструмент от имени Администратора при помощи контекстного меню Пуска.

2. Для активации невидимого пользователя с расширенными привилегиями выполните команду « net user administrator /active:yes ». При появлении ошибки повторите её, написав слово «administrator» на русском языке.

Метод №4

Задействуем возможности редактора групповой политики (в Home редакции Windows 10 инструмент недоступен).

2. Перейдите в «Параметры безопасности» в подразделе локальных политик.

3. Откройте свойства параметра «Состояние учётной записи…».

4. Перенесите переключатель в положение «Включён» и закройте окно с сохранением изменений.

Как и в предыдущем способе, появится новый аккаунт с расширенными привилегиями.

Метод №5

Воспользуемся инструментом «Локальные пользователи и группы».

1. В окне «Выполнить» осуществите команду « lusrmgr.msc ».

2. Перейдите в каталог «Пользователи».

3. Выберите «Администратор» и откройте его свойства.

4. Отметьте флажком «Отключить…» и кликните «OK».

Метод №6

Последний вариант решения проблемы – утилита netplwiz.

1. Жмите Win + R и выполните в окне команду «netplwiz.exe».

2. Выберите аккаунт и откройте его свойства.

3. Во вкладке «Членство в группах» укажите уровень доступа для аккаунта.

Вот так просто в Windows 10 управлять уровнем доступа юзеров без посторонних утилит.

Как шестью способами получить права администратора в Windows 10

Выпущенная недавно новая операционная система Windows 10 обладает повышенной защитой, которая обеспечивает безопасность ОС и устраняет множество угроз. Чтобы максимально защитить систему, разработчики отключили расширенные права, благодаря которым стороннее программное обеспечение имеет больше доступа к ресурсам системы. Например, самостоятельно скомпилированная программа для чтения какой-нибудь базы данных, не подписанная никаким сертификатом, будет запускаться с ограниченными правами доступа. Чтобы включить полный доступ в учетной записи администратора системы мы опишем различные способы, при которых админ получает расширенные права для управления системой.

Первый способ получения расширенного доступа админа

Первый способ получения прав администратора довольно прост. Первым делом вам необходимо зайти Windows 10 с учетной записью, которая обладает правами администратора.

Попробуем запустить программу WordPad, встроенную в операционную систему с расширенными правами. Для этого с помощью клавиатурной комбинации Win + Q перейдем к поиску Windows 10 и наберем в нем фразу «WordPad».

Теперь кликнем на полученном результате правой кнопкой мыши. В открывшемся контекстном меню найдем пункт «Запустить от имени администратора». Выполнив этот пункт, мы запустим программу WordPad в расширенном режиме админа.

Похожим образом приложение можно запустить через меню «Пуск» во вкладке «Все приложения» и выполнить запуск через контекстное меню, как это показано на изображении ниже.

Если вы хотите запустить программу с расширенными полномочиями, которая находится на Рабочем столе, то смело переходите в контекстное меню ярлыка и выбирайте пункт, отвечающий за запуск от имени админа.

Также если перейти в Свойства ярлыка и нажать кнопку «Дополнительно», вы сможете выставить автоматический запуск утилит с правами админа. Например, на изображении ниже показан пример настройки текстового редактора для программистов Notepad++.

Еще одним способом запуска утилиты WordPad с повышенными привилегиями является его запуск в командной строке с правами админа. Для этого запустим консоль таким образом — нажмем на значке «Пуск» правой кнопкой мыши и выберем пункт, который отвечает за запуск с правами админа. Теперь выполним в консоли команду write После этого наш текстовый редактор запустится с повышенными правами.

Второй способ получения расширенного режима админа

Для второго способа нам также понадобится командная строка, которая запущена с правами администратора. Также заходим в учетную запись, которая обладает правами админа. Потом переходим к поиску Windows 10 и набираем в нем фразу «CMD», которая отвечает за поиск консоли.

Кликнем кнопкой по найденному результату и выберем пункт, который запустит нашу консоль с расширенными правами. В запущенной консоли выполните команду, изображенную ниже.

Выполнив эту команду, вы наделите свою учетную запись расширенными правами и сможете запускать утилиты без каких-либо ограничений. Выполнить обратную операцию в консоли и вернуть все изменения можно, изменив слово «Yes» на «No».

Третий способ получения расширенного доступа админа

В этом способе также запустим консоль с правами админа и выполним в ней команду, изображенную ниже.

После выполнения этой команды запустится надстройка системы «Локальная политика безопасности». Еще эту надстройку можно включить в Панели управления, если вам не нравится использовать консоль.

В открытой надстройке переходим по таким ссылкам: «Локальные политики / Параметры безопасности / Учётные записи: Состояние учетной записи ‘Администратор’» и ставим в открывшемся параметре переключатель в положение «Включить».

Выполнив эти действия, вы сможете стать пользователем с полными правами доступа в системе.

Четвертый способ получения расширенного доступа админа

Запустим таким же способом, как в первом примере консоль и выполним в ней команду lusrmgr.msc

Эта команда запустит надстройку, которая позволяет управлять пользователями операционной системы Windows 10. Надстройку также можно найти и включить в Панели управления.

В открытой надстройке найдите раздел «Пользователи» и найдите в нем пользователя «Администратор». Открыв этого пользователя, отметьте пункт «Отключить учетную запись» как показано на изображении ниже.

Теперь перезагрузите ПК и войдите в систему под пользователем, для которого мы выполняли эти действия.

Проделав эти операции, вы сможете стать пользователем с полными правами доступа в системе как в предыдущем примере.

Пятый способ, позволяющий стать админом с расширенными правами

Запустим в пятый раз командную строку с правами админа и выполним в ней такую команду control userpasswords2

Также эту команду можно выполнить в программе, которая запускается комбинацией клавиш Win + R .

Эта команда позволит нам запустить окно, в котором можно управлять параметрами пользователей. Окно откроется на первой вкладке «Пользователи». Для выполнения поставленной задачи, нам необходимо перейти на вкладку «Дополнительно».

На этой вкладке нажмем кнопку Дополнительно , которая перебросит нас в знакомую нам надстройку из предыдущего примера. Поэтому выполняем все действия как в предыдущем примере.

Шестой способ получения расширенного доступа админа

В шестом способе мы опишем запуск программ с расширенными привилегиями из-под обычного пользователя. Поэтому мы перейдем в учетную запись пользователя, который обладает обычными правами. Дальнейшим нашим шагом будет запуск программы Notepad++ через контекстное меню ярлыка на Рабочем столе. Такой способ запуска описан в первом примере. Если мы запустим Notepad++ этим методом, то ОС запросит у нас пароль одного из администраторов системы.

Поэтому введем необходимый пароль и запустим Notepad++ с расширенными привилегиями.

Как видно из примера, мы запустили текстовый редактор Notepad++ из-под обычной учетки. Единственное, что стоит учитывать в этом примере, без пароля админа вы не сможете воспользоваться этим методом.

Подводим итог

Из примеров видно, что запустить приложение с повышенными привилегиями и сделать себя админом с расширенными возможностями совсем нетрудно. Но перед тем как давать своей учетке расширенные привилегии, стоит учитывать фактор безопасности.

Посудите сами, ведь неспроста разработчики Windows 10 ограничили возможности учетной записи администратора. Главным фактором такого ограничения является исполнение вредоносного кода в десятке, который может повредить системные файлы операционной системы. Поэтому будьте предельно осторожны, когда пытаетесь стать админом с повышенными правами.

А мы в свою очередь надеемся, что наш материал поможет дать нашим читателям ответ на мучащий их вопрос — как получить права администратора в Windows 10 и позволит решить множество задач.

Видео по теме

Как сделать пользователя администратором в Windows 10

По умолчанию, учетная запись первого созданного пользователя в Windows 10 (например, при установке) имеет права администратора, однако последующие создаваемые учетные записи — права обычного пользователя.

В этой инструкции для начинающих пошагово о том, как дать права администратора создаваемым пользователям несколькими способами, а также о том, как стать администратором Windows 10, если у вас нет доступа к администраторской учетной записи, плюс видео, где весь процесс показан наглядно. См. также: Как создать пользователя Windows 10, Встроенная учетная запись Администратор в Windows 10.

Как включить права администратора для пользователя в параметрах Windows 10

В Windows 10 появился новый интерфейс для управления учетными записями пользователей — в соответствующем разделе «Параметров».

Чтобы сделать пользователя администратором в параметрах достаточно выполнить следующие простые шаги (эти действия должны выполняться из учетной записи, которая уже имеет права администратора)

1. Зайдите в Параметры (клавиши Win+I) — Учетные записи — Семья и другие люди.
2. В разделе «Другие люди» нажмите по учетной записи пользователя, которого требуется сделать администратором и нажмите кнопку «Изменить тип учетной записи».
3. В следующем окне в поле «Тип учетной записи» выберите «Администратор» и нажмите «Ок».

Готово, теперь пользователь при следующем входе в систему будет иметь необходимые права.

С использованием панели управления

Чтобы изменить права учетной записи с простого пользователя на администратора в панели управления выполните следующие шаги:

1. Откройте панель управления (для этого можно использовать поиск в панели задач).
2. Откройте пункт «Учетные записи пользователей».
3. Нажмите «Управление другой учетной записью».
4. Выберите пользователя, права которого нужно изменить и нажмите «Изменение типа учетной записи».
5. Выберите «Администратор» и нажмите кнопку «Изменение типа учетной записи».

Готово, теперь пользователь является администратором Windows 10.

С помощью утилиты «Локальные пользователи и группы»

Ещё один способ сделать пользователя администратором — использовать встроенное средство «Локальные пользователи и группы»:

1. Нажмите клавиши Win+R на клавиатуре, введите lusrmgr.msc и нажмите Enter.
2. В открывшемся окне откройте папку «Пользователи», затем дважды кликните по пользователю, которого требуется сделать администратором.
3. На вкладке «Членство в группах» нажмите «Добавить».
4. Введите «Администраторы» (без кавычек) и нажмите «Ок».
5. В списке групп выберите «Пользователи» и нажмите «Удалить».
6. Нажмите «Ок».

При следующем входе в систему пользователь, который был добавлен в группу «Администраторы», будет иметь соответствующие права в Windows 10.

Как сделать пользователя администратором с помощью командной строки

Существует и способ дать права администратора пользователю используя командную строку. Порядок действий будет следующим.

1. Запустите командную строку от имени Администратора (см. Как запустить командную строку в Windows 10).
2. Введите команду net users и нажмите Enter. В результате вы увидите список учетных записей пользователей и системные учетные записи. Запомните точное имя учетной записи, права которой нужно изменить.
3. Введите команду net localgroup Администраторы имя_пользователя /add и нажмите Enter.
4. Введите команду net localgroup Пользователи имя_пользователя /delete и нажмите Enter.
5. Пользователь будет добавлен в список администраторов системы и удален из списка обычных пользователей.

Примечания по команде: на некоторых системах, созданных на базе англоязычных версий Windows 10 следует использовать «Administrators» вместо «Администраторы» и «Users» вместо «Пользователи». Также, если имя пользователя состоит из нескольких слов, возьмите его в кавычки.

Как сделать своего пользователя администратором, не имея доступа к учетным записям с правами администратора

Ну и последний возможный сценарий: вы хотите дать себе права администратора, при этом отсутствует доступ к уже имеющейся учетной записи с этими правами, из-под которой можно было бы выполнить описанные выше действия.

Даже в этой ситуации существуют некоторые возможности. Один из самых простых подходов будет таким:

1. Используйте первые шаги в инструкции Как сбросить пароль Windows 10 до того момента, как будет запущена командная строка на экране блокировки (она как раз открывается с нужными правами), сбрасывать какой-либо пароль не потребуется.
2. Используйте в этой командной строке способ «с помощью командной строки», описанный выше, чтобы сделать себя администратором.

Видео инструкция

На этом завершаю инструкцию, уверен, что у вас всё получится. Если же остаются вопросы — задавайте в комментариях, а я постараюсь ответить.