了解NTFS文件夾訪問(wèn)權(quán)限和使用說(shuō)明

訪問(wèn)權(quán)限 嚴(yán)格設(shè)置
為了保證Windows系統(tǒng)的安全穩(wěn)定，很多用戶都是使用NTFS文件系統(tǒng)，因此共享文件夾的訪問(wèn)權(quán)限不但受到“共享權(quán)限”限制，還受到 NTFS文件系統(tǒng)的ACL（訪問(wèn)控制列表）包含的訪問(wèn)權(quán)限的制約。下面筆者就以“CCE”共享文件夾為例，介紹如何合理設(shè)置“cceuser”用戶對(duì) “CCE”共享文件夾的訪問(wèn)權(quán)限，以此來(lái)增強(qiáng)共享文件夾的安全。
1、共享權(quán)限設(shè)置
在資源管理器中，右鍵點(diǎn)擊“CCE”共享文件夾，選擇“屬性”，切換到“共享”標(biāo)簽頁(yè)，點(diǎn)擊“權(quán)限”按鈕，彈出“CCE的權(quán)限”設(shè)置對(duì)話框，點(diǎn)擊“添加”按鈕，將“cceuser ”賬號(hào)添加到“組或用戶名稱”列表框內(nèi)，這里“cceuser”賬號(hào)對(duì)“CCE”共享文件夾要有讀取和寫入權(quán)限，因此筆者要給該賬號(hào)賦予“完全控制”權(quán)限，最后點(diǎn)擊“確定”按鈕，完成共享權(quán)限設(shè)置。
2、NTFS訪問(wèn)權(quán)限設(shè)置
以上只是設(shè)置了“CCE”共享文件夾的共享訪問(wèn)權(quán)限，畢竟“CCE”共享文件夾是受“共享訪問(wèn)權(quán)限”和“NTFS訪問(wèn)權(quán)限”雙重制約的，如果NTFS文件系統(tǒng)不允許“cceuser”用戶訪問(wèn)共享，也是不行的，并且還要給該賬號(hào)設(shè)置合理的NTFS訪問(wèn)權(quán)限。
在“CCE”共享文件屬性對(duì)話框中切換到“安全”標(biāo)簽頁(yè)后，首先將“cceuser”賬號(hào)添加到“組或用戶名稱”列表框中，接下來(lái)還要為該賬號(hào)設(shè)置訪問(wèn)權(quán)限。選中“cceuser”賬號(hào)后，在“cceuser的權(quán)限”列表框中選中“讀取和運(yùn)行、列出文件夾目錄、讀取、修改和寫入”項(xiàng)目，最后點(diǎn)擊 “確定”按鈕。
經(jīng)過(guò)以上操作后，就完成了“CCE”共享文件夾的“cceuser”用戶的訪問(wèn)權(quán)限設(shè)置，其它用戶的共享文件夾訪問(wèn)權(quán)限設(shè)置方法是相同的，就不再贅述。

磁盤管理 合理配制
由于共享文件夾中存在著大量的共享資源，因此它要占用一定的硬盤空間。某些有寫入權(quán)限的用戶，任意上傳大量與工作無(wú)關(guān)的文件，不但浪費(fèi)磁盤資源，而且還容易被感染病毒，因此共享文件夾毫無(wú)節(jié)制的占用硬盤空間資源，也會(huì)帶來(lái)意想不到的安全隱患，必須進(jìn)行限制。
1、磁盤配額，限制用戶
Windows系統(tǒng)提供的“磁盤配額”功能，可以對(duì)每位Windows用戶使用的硬盤空間資源進(jìn)行限制，這樣就可以間接的起到控制共享文件夾容量大小的作用。
還是以“CCE”共享文件夾和“cceuser”用戶為例，這里“CCE”共享文件夾位于D盤中，下面就要啟用D盤中的“磁盤配額”功能，指定“cceuser”用戶可以使用的硬盤空間數(shù)。
在資源管理器中，右鍵點(diǎn)擊D盤盤符，選擇“屬性”選項(xiàng)，切換到“配額”標(biāo)簽頁(yè)，選中“啟用配額管理”項(xiàng)后，激活“磁盤配額”功能。確保選中“拒絕將磁盤空間給超過(guò)配額限制的用戶”項(xiàng)。另外建議選中“用戶超出配額限制時(shí)記錄事件”和“用戶超過(guò)警告等級(jí)時(shí)記錄事件”這兩項(xiàng)，以便將配額告警記錄到日志中，最后點(diǎn)擊“應(yīng)用”。
下面點(diǎn)擊“配額項(xiàng)”按鈕，彈出磁盤配額項(xiàng)目窗口，接下來(lái)就為“cceuser”用戶進(jìn)行配額限制了。點(diǎn)擊“配額→新建配額項(xiàng)”，在選擇用戶對(duì)話框，選中“cceuser”用戶，點(diǎn)擊“確定”，然后在“添加新配額項(xiàng)”中為該用戶設(shè)置配額限制，選中“將磁盤空間限制為”項(xiàng)目，在空白欄中輸入 “500”，接著在“將警告等級(jí)設(shè)置為”欄中輸入“490”，磁盤容量單位選擇“MB”，最后點(diǎn)擊“確定”，完成“cceuser”用戶的磁盤配額設(shè)置，這樣該用戶就只能使用500 MB的共享文件夾硬盤空間了。其他用戶的配額設(shè)置方法是相同，按照上面的步驟配置即可。
2、備份恢復(fù)“磁盤配額”
備份磁盤配額項(xiàng)目非常簡(jiǎn)單，由于“CCE”共享文件夾位于D盤，這里筆者以備份Windows 系統(tǒng)的D盤的磁盤配額項(xiàng)目為例，右鍵點(diǎn)擊“D盤”盤符，在彈出的菜單中選擇“屬性”，切換到“配額”標(biāo)簽頁(yè)，點(diǎn)擊下方的“配額項(xiàng)”按鈕，彈出“配額項(xiàng)目” 管理對(duì)話框，點(diǎn)擊“配額→導(dǎo)出”，在“文件名”欄中為備份文件起個(gè)名字，最后點(diǎn)擊“保存”按鈕，完成磁盤配額項(xiàng)目的備份。其它盤符的磁盤配額項(xiàng)目備份和以上相同，不再贅述。
恢復(fù)磁盤配額項(xiàng)目同樣簡(jiǎn)單，在配額項(xiàng)目管理對(duì)話框中，點(diǎn)擊“配額→導(dǎo)入”，然后找到備份文件，點(diǎn)擊“打開(kāi)”按鈕后，接著在磁盤配額提示框中點(diǎn)擊“是”按鈕，完成磁盤配額項(xiàng)目的恢復(fù)。
提示：磁盤配額項(xiàng)目的備份和恢復(fù)都是以磁盤盤符為單位的，要注意，在進(jìn)行備份和恢復(fù)時(shí)，只有NTFS文件系統(tǒng)的磁盤分區(qū)才能進(jìn)行以上操作。
3、移動(dòng)共享，注意權(quán)限
由于某些需要，有時(shí)要把共享文件夾移動(dòng)位置，拷貝到別的目錄下。復(fù)制操作雖然很簡(jiǎn)單，但要將共享文件夾所包含的用戶訪問(wèn)權(quán)限信息和具體共享文件一起復(fù)制過(guò)去，這是一般的復(fù)制操作做不到的。利用“XCOPY”命令就能很好的解決這個(gè)問(wèn)題。
筆者以D盤的CCE共享文件夾為例，將共享文件及其所包含的用戶訪問(wèn)權(quán)限信息，復(fù)制到D盤的CCEB共享文件夾下。在“命令提示符”窗口中的“D:>”提示符下，運(yùn)行“xcopy CCE CCEB /O /S”命令后，就可以將CCE共享文件夾和所包含的用戶訪問(wèn)權(quán)限信息，都復(fù)制到CCEB共享文件夾下了。其中“/O”參數(shù)表示“復(fù)制文件的所有權(quán)和 ACL 信息”，“/S”表示“復(fù)制目錄和子目錄”。
4、有備無(wú)患，備份ACL
如果共享文件夾所包含的ACL信息（用戶訪問(wèn)權(quán)限）意外丟失，單憑記憶是很難恢復(fù)，還有可能造成遺漏，給共享文件夾留下安全隱患。這時(shí)用戶就可以使用CACLS命令，做好這些共享文件夾的ACL信息備份。
以D盤的共享文件夾CCE為例，該共享文件夾中包含著大量的ACL信息，下面就使用CACLS命令對(duì)此共享文件夾中的所有ACL信息進(jìn)行備份。在“命令提示符”窗口中切換到“D:>”提示符下，運(yùn)行“cacls d: CCE /t > d:aclsCCE.txt” 命令后，就將共享文件夾CCE中所包含的ACL信息都備份到D盤的“aclsCCE.txt”文件中了。當(dāng)ACL信息意外丟失時(shí)，就可以按照備份文件 “aclsCCE.txt”中ACL信息，對(duì)CCE共享文件夾的訪問(wèn)權(quán)限進(jìn)行重新設(shè)置，避免了部分ACL信息的遺漏，保證了共享文件夾的安全性。
a、在同一NTFS分區(qū)間復(fù)制或移動(dòng)
在同一NTFS分區(qū)間復(fù)制到不同文件夾時(shí)，它的訪問(wèn)權(quán)限是和原文件或文件夾的訪問(wèn)權(quán)限不一樣。但在同一NTFS分區(qū)間移動(dòng)一文件或文件夾其訪問(wèn)權(quán)限保持不變，繼承原先未移動(dòng)前訪問(wèn)的權(quán)限。
b、在不同NTFS分區(qū)間復(fù)制或移動(dòng)
在不同NTFS分區(qū)間復(fù)制文件或文件夾訪問(wèn)權(quán)限會(huì)隨之改變，復(fù)制的文件不是繼承原權(quán)限，而是繼承目標(biāo)（新）文件夾的訪問(wèn)權(quán)限。同樣如果是在不同NTFS分區(qū)間移動(dòng)文件或文件夾則訪問(wèn)權(quán)限隨著移動(dòng)而改變，也是繼承移動(dòng)后所在文件夾的權(quán)限。
c、從NTFS分區(qū)復(fù)制或移動(dòng)到FAT格式分區(qū)
因?yàn)镕AT格式的文件或文件夾根本沒(méi)有權(quán)限設(shè)置項(xiàng)，所以原來(lái)文件或文件夾也就再?zèng)]有訪問(wèn)權(quán)限了。