Dela via

Använda ärvda behörigheter med åtkomstbaserad uppräkning

Som standard ärvs de behörigheter som används för en DFS-mapp från namnområdesserverns lokala filsystem. Behörigheterna ärvs från rotkatalogen på systemenheten och ger gruppen DOMÄN\Användare läsbehörighet. Det innebär att alla mappar i namnområdet förblir synliga för alla domänanvändare, även efter att åtkomstbaserad uppräkning har aktiverats.

Fördelar och begränsningar med ärvda behörigheter

Det finns två huvudsakliga fördelar med att använda ärvda behörigheter för att styra vilka användare som kan visa mappar i ett DFS-namnområde:

  • Du kan snabbt tillämpa ärvda behörigheter på många mappar utan att behöva använda skript.
  • Du kan använda ärvda behörigheter för namnområdesrötter och mappar utan mål.

Trots fördelarna har ärvda behörigheter i DFS-namnområden många begränsningar som gör dem olämpliga för de flesta miljöer:

  • Ändringar av ärvda behörigheter replikeras inte till andra namnområdesservrar. Använd därför endast ärvda behörigheter för fristående namnområden eller i miljöer där du kan implementera ett replikeringssystem från tredje part för att hålla åtkomstkontrollistor (ACL:er) på alla namnområdesservrar synkroniserade.
  • DFS-hantering och Dfsutil kan inte visa eller ändra ärvda behörigheter. Därför måste du använda Utforskaren eller kommandot Icacls utöver DFS Management eller Dfsutil för att hantera namnområdet.
  • När du använder ärvda behörigheter kan du inte ändra behörigheterna för en mapp med mål förutom med hjälp av Dfsutil kommandot . DFS-namnområden tar automatiskt bort behörigheter från mappar med mål som har angetts med andra verktyg eller metoder.
  • Om du anger behörigheter för en mapp med mål medan du använder ärvda behörigheter, kombineras den ACL som du anger för mappen med mål med ärvda behörigheter från mappens överordnade i filsystemet. Du måste undersöka båda uppsättningarna med behörigheter för att avgöra vad nätbehörigheterna är.

Anmärkning

När du använder ärvda behörigheter är det enklast att ange behörigheter för namnområdesrötter och mappar utan mål. Använd sedan ärvda behörigheter på mappar med mål så att de ärver alla behörigheter från sina föräldrar.

Använda ärvda behörigheter

Om du vill begränsa vilka användare som kan visa en DFS-mapp måste du utföra någon av följande uppgifter:

  • Ange explicita behörigheter för mappen och inaktivera arv. Information om hur du anger explicita behörigheter för en mapp med mål (en länk) med hjälp av DFS-hantering eller kommandot Dfsutil finns i Aktivera Access-Based uppräkning i ett namnområde.
  • Ändra ärvda behörigheter för den överordnade i det lokala filsystemet. Om du vill ändra de behörigheter som ärvs av en mapp med mål, om du redan har angett explicita behörigheter för mappen, växlar du till ärvda behörigheter från explicita behörigheter, enligt beskrivningen i följande procedur. Använd sedan Utforskaren eller kommandot Icacls för att ändra behörigheterna för mappen som mappen med mål ärver sina behörigheter från.

Anmärkning

Åtkomstbaserad uppräkning hindrar inte användare från att få en referens till ett mappmål om de redan känner till DFS-sökvägen till mappen med mål. Behörigheter som anges med hjälp av Utforskaren eller kommandot Icacls på namnområdesrötter eller mappar utan mål styr om användare kan komma åt DFS-mappen eller namnområdesroten. De hindrar dock inte användare från att direkt komma åt en mapp med mål. Det är bara resursbehörigheterna eller NTFS-filsystembehörigheterna för själva den delade mappen som kan hindra användare från att komma åt mappmål.

Så här växlar du från explicita behörigheter till ärvda behörigheter

  1. Leta reda på mappen med mål vars synlighet du vill styra under noden Namnrymder i konsolträdet, högerklicka på mappen och klicka sedan på Egenskaper.

  2. Klicka på fliken Avancerat.

  3. Klicka på Använd ärvda behörigheter från det lokala filsystemet och klicka sedan på OK i dialogrutan Bekräfta användning av ärvda behörigheter . Om du gör detta tas alla uttryckligen angivna behörigheter bort för den här mappen och ärvda NTFS-behörigheter återställs från det lokala filsystemet på namnområdesservern.

  4. Om du vill ändra de ärvda behörigheterna för mappar eller namnområdesrötter i ett DFS-namnområde använder du Utforskaren eller kommandot ICacls .

Ytterligare referenser