域管理员组中的用户无法访问该组有权访问的目录

与我的一个域实验室一起玩时，我遇到了一个相当有趣的问题。

2008 R2文件服务器上有一个目录，用于“ Staff” OU中的所有用户的文件夹重定向。该目录设置了以下权限：

FILESERVER \ Administrators：允许完全控制目录，子目录和文件
DOMAIN \ Domain Admins：允许完全控制目录，子目录和文件
经过身份验证的用户：仅允许创建文件，创建文件夹，写入属性以及将扩展属性写入顶层目录

此外，该目录也是具有“允许完全控制”到Authenticated Users组的网络共享。

当域admins组的成员用户john.doe尝试从文件服务器访问目录时，他收到错误消息“您当前无权访问此文件夹”。尝试从同一服务器访问网络共享也会导致权限被拒绝错误（尽管用户仍然可以访问共享中自己的目录）。

从以同一用户身份登录的另一台计算机访问共享将允许按配置进行访问。

登录文件服务器时，访问目录中文件的唯一方法是打开提升的命令提示符。通过组策略为域中的所有计算机禁用了UAC（启用了以“管理员批准”模式运行所有管理员，并且默认行为设置为“提升”而不提示）。

所有道路都指向允许用户访问的路径，但仍被拒绝。有任何想法吗？

windows active-directory permissions

— 英文缀
source

ACL中是否有任何拒绝ACE？

— Shane Madden

在ACL中没有为任何组或用户的目录设置拒绝权限。

— EnglishInfix 2012年

Answers:

这是设计使然。UAC将从任何未提升的过程中删除管理员凭据。如果您尝试使用未提升权限的进程仅使用管理员凭据访问远程共享，则UAC将从进程的安全令牌中删除管理员凭据，并且该进程将收到“拒绝访问”错误。

要解决此问题，您可以：

不要使用管理员凭据来保护文件夹（为此目的创建通用组），或者
在文件服务器上禁用UAC（不推荐），或者
在文件服务器上启用以下注册表项，以仅禁用UAC的这一部分。

详细信息： Windows Vista中的用户帐户控制和远程限制说明

— 约翰·荷马
source

所以我刚刚注意到这是去年五月。不知道为什么今天早上它出现在我的RSS提要中...

— John Homer 2014年

约翰，我很高兴更改答案并支持您，但我想确定一下。KB文章在该Domain user accounts部分下显示为“怪异”，好像完全没有任何关系。OP表示他正在文件服务器上，直接从服务器访问本地驱动器和UNC路径。我没有一种快速的方法（但是如果需要的话）可以测试regkey，只是问您是否确定这确实可以解决OP中描述的问题，而不仅仅是远程UNC路径访问？

— TheCleaner 2014年

我已经无数次遇到这个问题。在本地访问共享与远程共享的过程相同。它仍然使用UNC重定向器来访问该文件夹，并且会受到相同的行为。我猜远程计算机是Windows的旧版本（非UAC）。不幸的是，OP没有提供该信息。仅根据他确实提供的信息（尤其是提升它以使其正常工作的需要），我就认为这是问题所在。

— 约翰·荷马

是的，可以理解，但是他说他首先尝试了本地驱动器（无共享），然后尝试了UNC共享。但是我离题了。。。我会改变我的帖子，并给你的帖子投票...我没有理由不相信你的回答。

— TheCleaner 2014年

注册表项对我不起作用，即使重启后也是如此。关闭UAC也不起作用。只有通用团队为我工作。

— skinneejoe16年

UAC剥夺了服务器本身上的Domain Admin凭据，这是UAC（愚蠢的IMO）工作方式的一部分。一种选择是完全禁用服务器上的UAC，以不收到“您当前无权访问此文件夹”提示。

编辑：这是示例线程顺便说一句：http : //social.technet.microsoft.com/Forums/zh-CN/winservergen/thread/9061bc1c-42ea-47ed-8c7d-56b07139fb86/

EDIT2：约翰下面的答案可能正是您想要的。尝试一下并报告，如果可以的话。

— 清洁工
source

另一种选择是使用适当的权限将ACL添加到用户所属的另一个组的文件夹中。

— Greg Askew

对不起，TheCleaner，但是您不正确。您无需禁用UAC即可完成这项工作。有一个注册表项（LocalAccountTokenFilterPolicy）仅禁用UAC的这一部分。此处的更多信息：support.microsoft.com/kb/951016

— John Homer 2014年

@JohnHomer-在您的答案中查看我的评论。如果您确定KB文章适用于本地服务器驱动器问题以及OP所描述的问题，我将尽可能改变答案，但也要指出并赞成。

— TheCleaner 2014年

-1

最好的方法是在以下位置更改注册表项

registry::HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\policies\system; key = EnableLUA

确保将其设置为值0以禁用
您需要重新启动才能生效。
启用注册表后，界面可能显示为已禁用

— 本
source

不应手动设置策略密钥。组策略管理使用它们来存储设置。更多信息：technet.microsoft.com/zh-cn/library/cc962657.aspx

— John Homer