Использование наследуемых разрешений с перечислением на основе доступа

У использования наследуемых разрешений есть два основных преимущества, позволяющих управлять просмотром папок пользователями в пространстве имен DFS.

• Можно быстро применить наследуемые разрешения ко многим папкам без использования сценариев.
  
  
• Можно применить наследуемые разрешения к корням пространств имен и папкам без конечных объектов.
  
  

Несмотря на эти преимущества наследуемые разрешения в пространствах имен DFS обладают многими ограничениями, которые делают их неприменимыми для большинства сред.

• Изменения наследуемых разрешений не реплицируются на другие серверы пространства имен. Поэтому их следует использовать только в изолированных пространствах имен или средах, в которых можно применить систему репликации других производителей, чтобы сохранить синхронизацию списков управления доступом для всех серверов пространств имен.
  
  
• Оснастка «Управление DFS» и программа Dfsutil не позволяют просматривать или изменять наследуемые разрешения. Поэтому для управления пространством имен следует использовать проводник или команду Icacls в дополнение к оснастке «Управление DFS» и программе Dfsutil.
  
  
• При использовании наследуемых разрешений изменять разрешения папки с конечными объектами можно только с помощью команды Dfsutil. Оснастка «Пространства имен» автоматически удаляет разрешения из папок с конечными объектами, используя другие средства или методы.
  
  
• Если установить разрешения для папки с конечными объектами при использовании наследуемых разрешений, список управления доступом, заданный для этой папки, сочетается с наследуемыми разрешениями из родительской папки в файловой системе. Необходимо изучить оба набора разрешений, чтобы определить общие разрешения.
  
  

	Совет
	Использование наследуемых разрешений - это простейший способ установить разрешения в корнях пространства имен и папках без конечных объектов. Затем можно использовать наследуемые разрешения в папках с конечными объектами, чтобы они наследовали все разрешения родительских папок.

Для ограничения пользователей, способных просматривать папку DFS, следует выполнить одно из следующих действий:

• Установить явные разрешения для папки, отключив наследование. Чтобы установить явные разрешения для папки с конечными объектами (ссылки) с помощью оснастки «Управление DFS» или команды Dfsutil, см. раздел Включение перечисления на основе доступа в пространстве имен.
  
  
• Изменить наследуемые разрешения родительского объекта в локальной файловой системе. Для изменения разрешений, наследуемых папкой с конечными объектами, если уже заданы явные разрешения, переключитесь с явных на наследуемые разрешения, как описано далее. Затем используйте проводник или команду Icacls для изменения разрешений папки, от которой папка с конечными объектами наследует разрешения, как описано на веб-сайте Майкрософт (https://go.microsoft.com/fwlink/?LinkId=140259 (может быть на английском языке)).
  
  

Примечание

Перечисление на основе доступа не запрещает пользователям получать ссылку на папку с конечными объектами, если они уже знают путь DFS папки с конечными объектами. Разрешения, заданные с помощью проводника или команды Icacls в корнях пространств имен или папках без конечных объектов, управляют тем, могут ли пользователи получить доступ к папке DFS или корню пространства имен. Однако они не запрещают пользователям прямой доступ к папке с конечными объектами. Только разрешения для общего ресурса или разрешения файловой системы NTFS для общего ресурса могут предотвратить доступ пользователей к папке с конечными объектами.

Переключение с явных на наследуемые разрешения

• Создание пространства имен распределенной файловой системы (DFS)