Uso delle autorizzazioni ereditate con l'enumerazione basata sull'accesso

Per impostazione predefinita, le autorizzazioni usate per una cartella DFS vengono ereditate dal file system locale del server dello spazio dei nomi. Le autorizzazioni vengono ereditate dalla directory radice dell'unità di sistema e concedono le autorizzazioni di lettura al gruppo DOMAIN\Users. Di conseguenza, anche dopo aver abilitato l'enumerazione basata sull'accesso, tutte le cartelle nello spazio dei nomi rimangono visibili a tutti gli utenti di dominio.

Vantaggi e limitazioni delle autorizzazioni ereditate

Esistono due vantaggi principali dell'uso delle autorizzazioni ereditate per controllare quali utenti possono visualizzare le cartelle in uno spazio dei nomi DFS:

• È possibile applicare rapidamente autorizzazioni ereditate a molte cartelle senza dover usare script.
• È possibile applicare autorizzazioni ereditate alle radici dello spazio dei nomi e alle cartelle senza destinazioni.

Nonostante i vantaggi, le autorizzazioni ereditate negli spazi dei nomi DFS presentano molte limitazioni che le rendono inappropriate per la maggior parte degli ambienti:

• Le modifiche alle autorizzazioni ereditate non vengono replicate in altri server dello spazio dei nomi. Usare pertanto le autorizzazioni ereditate solo negli spazi dei nomi autonomi o in ambienti in cui è possibile implementare un sistema di replica di terze parti per mantenere sincronizzati gli elenchi di controllo di accesso (ACL) in tutti i server dello spazio dei nomi.
• Gestione DFS e Dfsutil non possono visualizzare o modificare autorizzazioni ereditate. Pertanto, è necessario usare Esplora risorse o il comando Icacls oltre a Gestione DFS o Dfsutil per gestire lo spazio dei nomi.
• Quando si usano autorizzazioni ereditate, non è possibile modificare le autorizzazioni di una cartella con destinazioni ad eccezione del comando Dfsutil . Gli spazi dei nomi DFS rimuovono automaticamente le autorizzazioni dalle cartelle con destinazioni impostate usando altri strumenti o metodi.
• Se si impostano le autorizzazioni per una cartella con destinazioni mentre si usano autorizzazioni ereditate, l'elenco di controllo di accesso impostato nella cartella con le destinazioni viene combinato con le autorizzazioni ereditate dall'elemento padre della cartella nel file system. È necessario esaminare entrambi i set di autorizzazioni per determinare quali sono quelle esatte.

Note

Quando si usano le autorizzazioni ereditate, è più semplice impostare le autorizzazioni per le radici dello spazio dei nomi e per le cartelle senza destinazioni. Usare quindi le autorizzazioni ereditate per le cartelle con destinazioni in modo che ereditino tutte le autorizzazioni dalle cartelle padre.

Uso di autorizzazioni ereditate

Per limitare gli utenti che possono visualizzare una cartella DFS, è necessario eseguire una delle attività seguenti:

• Impostare autorizzazioni esplicite per la cartella, disabilitando l'ereditarietà. Per impostare autorizzazioni esplicite per una cartella con destinazioni (un collegamento) tramite Gestione DFS o il comando Dfsutil , vedere Abilitare Access-Based enumerazione in uno spazio dei nomi.
• Modificare le autorizzazioni ereditate per l'elemento padre nel file system locale. Per modificare le autorizzazioni ereditate da una cartella con destinazioni, se sono già state impostate autorizzazioni esplicite per la cartella, passare alle autorizzazioni ereditate dalle autorizzazioni esplicite, come illustrato nella procedura seguente. Usare quindi Esplora risorse o il comando Icacls per modificare le autorizzazioni della cartella da cui la cartella con destinazioni eredita le relative autorizzazioni.

Note

L'enumerazione basata sull'accesso non impedisce agli utenti di ottenere una segnalazione a una destinazione di cartella se conoscono già il percorso DFS della cartella con destinazioni. Le autorizzazioni impostate usando Esplora risorse o il comando Icacls nelle radici o nelle cartelle dello spazio dei nomi senza destinazioni controllano se gli utenti possono accedere alla cartella DFS o alla radice dello spazio dei nomi. Tuttavia, non impediscono agli utenti di accedere direttamente a una cartella con destinazioni. Solo le autorizzazioni di condivisione o le autorizzazioni per il file system NTFS della cartella condivisa stessa possono impedire agli utenti di accedere alle destinazioni di cartella.

Per passare da autorizzazioni esplicite a autorizzazioni ereditate

1. Nell'albero della console, nel nodo Spazi dei nomi individuare la cartella con destinazioni la cui visibilità si desidera controllare, fare clic con il pulsante destro del mouse sulla cartella e quindi scegliere Proprietà.

2. Fare clic sulla scheda Avanzate .

3. Fare clic su Usa autorizzazioni ereditate dal file system locale e quindi fare clic su OK nella finestra di dialogo Conferma utilizzo di autorizzazioni ereditate. In questo modo vengono rimosse tutte le autorizzazioni impostate in modo esplicito per questa cartella, ripristinando le autorizzazioni NTFS ereditate dal file system locale del server dello spazio dei nomi.

4. Per modificare le autorizzazioni ereditate per cartelle o radici dello spazio dei nomi in uno spazio dei nomi DFS, usare Esplora risorse o il comando ICacls .

Riferimenti aggiuntivi

• Creare uno spazio dei nomi DFS