設置NTFS權限基本策略和原則

在Windows XP中，針對權限的管理有四項基本原則，即：拒絕優于允許原則、權限最小化原則、累加原則和權限繼承性原則。這四項基本原則對于權限的設置來說，將會起到非常重要的作用，下面就來了解一下：

拒絕優于允許原則

“拒絕優于允許”原則是一條非常重要且基礎性的原則，它可以非常***地處理好因用戶在用戶組的歸屬方面引起的權限“糾紛”，例如，“shyzhong”這個用戶既屬于“shyzhongs”用戶組，也屬于“xhxs”用戶組，當我們對“xhxs”組中某個資源進行“寫入”權限的集中分配(即針對用戶組進行)時，這個時候該組中的“shyzhong”賬戶將自動擁有“寫入”的權限。

但令人奇怪的是，“shyzhong”賬戶明明擁有對這個資源的“寫入”權限，為什么實際操作中卻無法執行呢？原來，在“shyzhongs”組中同樣也對“shyzhong”用戶進行了針對這個資源的權限設置，但設置的權限是“拒絕寫入”。基于“拒絕優于允許”的原則，“shyzhong”在“shyzhongs”組中被 “拒絕寫入”的權限將優先于“xhxs”組中被賦予的允許“寫入”權限被執行。因此，在實際操作中，“shyzhong”用戶無法對這個資源進行“寫入”操作。

權限最小化原則

Windows XP將“保持用戶最小的權限”作為一個基本原則進行執行，這一點是非常有必要的。這條原則可以確保資源得到***的安全保障。這條原則可以盡量讓用戶不能訪問或不必要訪問的資源得到有效的權限賦予限制。

基于這條原則，在實際的權限賦予操作中，我們就必須為資源明確賦予允許或拒絕操作的權限。例如系統中新建的受限用戶“shyzhong”在默認狀態下對“DOC”目錄是沒有任何權限的，現在需要為這個用戶賦予對“DOC”目錄有“讀取”的權限，那么就必須在“DOC”目錄的權限列表中為“shyzhong”用戶添加“讀取”權限。

權限繼承性原則

權限繼承性原則可以讓資源的權限設置變得更加簡單。假設現在有個“DOC”目錄，在這個目錄中有“DOC01”、“DOC02”、“DOC03”等子目錄，現在需要對DOC目錄及其下的子目錄均設置“shyzhong”用戶有“寫入”權限。因為有繼承性原則，所以只需對“DOC”目錄設置“shyzhong”用戶有“寫入”權限，其下的所有子目錄將自動繼承這個權限的設置。

累加原則

這個原則比較好理解，假設現在“zhong”用戶既屬于“A”用戶組，也屬于“B”用戶組，它在A用戶組的權限是“讀取”，在“B”用戶組中的權限是“寫入”，那么根據累加原則，“zhong”用戶的實際權限將會是“讀取+寫入”兩種。

顯然，“拒絕優于允許”原則是用于解決權限設置上的沖突問題的；“權限最小化”原則是用于保障資源安全的；“權限繼承性”原則是用于“自動化”執行權限設置的；而“累加原則”則是讓權限的設置更加靈活多變。幾個原則各有所用，缺少哪一項都會給權限的設置帶來很多麻煩！

注意：在Windows XP中，“Administrators”組的全部成員都擁有“取得所有者身份”(Take Ownership)的權力，也就是管理員組的成員可以從其他用戶手中“奪取”其身份的權力，例如受限用戶“shyzhong”建立了一個DOC目錄，并只賦予自己擁有讀取權力，這看似周到的權限設置，實際上，“Administrators”組的全部成員將可以通過“奪取所有權”等方法獲得這個權限。

取消"Everyone"完全控制權限

選擇要取消權限的文件或文件夾，右鍵選擇屬性，在“安全”選項卡下的ACL中找到“Everyone”的ACE，選擇編輯，將其“完全控制”權限前的勾去掉。

復制和移動文件夾對權限的影響

在權限的應用中，不可避免地會遇到設置了權限后的資源需要復制或移動的情況，那么這個時候資源相應的權限會發生怎樣的變化呢？下面來了解一下：

(1)復制資源時

在復制資源時，原資源的權限不會發生變化，而新生成的資源，將繼承其目標位置父級資源的權限。

(2)移動資源時

在移動資源時，一般會遇到兩種情況，一是如果資源的移動發生在同一驅動器內，那么對象保留本身原有的權限不變(包括資源本身權限及原先從父級資源中繼承的權限)；二是如果資源的移動發生在不同的驅動器之間，那么不僅對象本身的權限會丟失，而且原先從父級資源中繼承的權限也會被從目標位置的父級資源繼承的權限所替代。實際上，移動操作就是首先進行資源的復制，然后從原有位置刪除資源的操作。

(3)非NTFS分區

上述復制或移動資源時產生的權限變化只是針對NTFS分區上而言的，如果將資源復制或移動到非NTFS分區(如FAT16/FAT32分區)上，那么所有的權限均會自動全部丟失。