Я зіткнувся з досить цікавою проблемою, граючи з одним із моїх лабораторій домену.
На файловому сервері R2 2008 року є каталог, який використовується для перенаправлення папок для всіх користувачів в ОУ «Персонал». У каталозі встановлено такі дозволи:
- FILESERVER \ Administrators: Дозволити повний контроль над каталогом, підкаталогами та файлами
- DOMAIN \ Адміністратори домену: дозволити повний контроль над каталогом, підкаталогами та файлами
- Автентифіковані користувачі: дозволяють створювати файли, створювати папки, писати атрибути та записувати розширені атрибути лише у верхній каталог
Окрім цього, каталог також є мережевою часткою із "Дозволити повний контроль" групі "Автентифіковані користувачі".
Коли користувач john.doe, член групи адміністраторів домену, намагається отримати доступ до каталогу через сервер файлів, він отримує помилку "Ви не маєте дозволу на доступ до цієї папки". Спроба отримати доступ до мережевої спільної доступу з одного сервера також призводить до помилки, у якій відмовлено у дозволі (хоча користувач все ще може отримати доступ до власного каталогу в межах спільної доступу).
Доступ до спільного доступу з іншого комп’ютера, на якому ввійшов той самий користувач, дозволяє отримати доступ до конфігурації.
Єдиний спосіб отримати доступ до файлів у каталозі під час входу на файловий сервер - це відкрити підвищений командний рядок. UAC вимкнено для всіх комп’ютерів у домені за допомогою групової політики (запустити всіх адміністраторів у режимі затвердження адміністратора, а поведінку за замовчуванням встановити для підвищення без підказки).
Усі дороги вказують на те, що користувачеві заборонено доступ, але йому все одно заборонено. Будь-які ідеї?