NTFS-尽管属于本地管理员组，但域管理员没有权限

8

根据“最佳做法”，我们IT部门的员工有两个帐户。一个非特权帐户和一个帐户，该帐户是全局Domain Admins（$ DOMAIN \ Domain Admins）组的成员。在我们的文件服务器上，将Domain Admins组添加到本地Administrators（$ SERVER \ Administrators）组。本地管理员组具有对这些目录的完全控制权限。很标准。

但是，如果我使用Domain Admin帐户登录到服务器以进入该目录，则需要批准一个UAC提示，其中说：“您当前无权访问此文件夹。单击继续以永久访问该文件夹。此文件夹。” 单击继续将使我的Domain Admin帐户对该文件夹以及该文件夹下的其他任何对象具有权限，尽管$ SERVER \ Administrators（我是我通过Domain Admins组的成员）已经具有“完全控制”权限。

有人可以解释这种现象吗？有关与Server 2008 R2和UAC的管理权限有关的管理文件共享NTFS权限的适当方法是什么？

可以远程管理系统，也可以禁用UAC。

— Zoredache

2

我不同意建议禁用UNC的任何人。通过UNC访问文件-我相信即使在本地服务器上也可以使用。

— Multiverse IT

我无法忍受WS2008 +中的这种行为，但必须同意@MultiverseIT的建议以不使用UAC。

— SturdyErde

11

正确，当程序请求管理员权限时会触发UAC。例如资源管理器，要求管理员特权，因为这是这些文件和文件夹上的NTFS ACL所需要的。

您知道我有四个选择。

在服务器上禁用UAC。
- 无论如何，我还是这样做（在一般情况下），并争辩说，如果您需要在服务器上使用UAC，则可能做错了，因为通常，只有管理员才能登录服务器，他们应该知道自己在做什么。在做。
从提升的界面管理权限
- 高架cmd窗口，PS窗口或资源管理器实例都可以避免UAC弹出窗口。（Run As Administrator）
远程管理NTFS权限
- 从未打开UAC的计算机上通过UNC连接。
创建一个附加的非管理组，该组在NTFS ACL中具有对要处理的所有文件和文件夹的完全访问权限，并将您的管理员分配给该组。
- UAC弹出窗口将不会（不应）被触发，因为Explorer不再需要管理特权，因为对文件的访问是通过另一个非管理组授予的。

— 绝望的N00b
source

2

好名单。注意事项：如果您远程管理NTFS权限，则是否为您管理的系统启用了UAC都没有关系。修改远程服务器上的ACL时不会提示。

— SturdyErde 2012年

1

好极了！选项4运作良好:)

— CrazyTim 2016年

有些事情使我回到了这个问题，所以我不得不修改以前的评论。除了您的第一个建议，该列表很好。如果您需要在服务器上禁用UAC，那么您做错了。如果必须在服务器上本地管理文件夹（同样，这样做有误）:)，那么您可以在文件夹结构中添加一个ACE，以向“交互”安全主体授予“列表内容”权限。这将使管理员无需UAC提示即可浏览文件夹结构。

— SturdyErde

有趣的是，选项4不适用于我（Server 2016）。但是，授予交互安全性原则“列表文件夹”和“读取权限”确实有效。但这不是我满意的。

— 布拉德·班福德

1

最好的方法是在以下位置更改注册表项

注册表:: HKEY_LOCAL_MACHINE \ Software \ Microsoft \ Windows \ CurrentVersion \ policies \ system; 键= EnableLUA

确保将其设置为值0以禁用它。您需要重新启动才能生效。启用注册表后，界面可能显示为已禁用。

— 本
source

进行此注册表更改将禁用UAC，并且Microsoft最佳实践强烈建议不要这样做。

— Joshua Hanley

1

为本地Administrator组的成员设置这两个策略，以便能够更改文件并连接到管理共享：

进行这些更改后，将需要重新启动。

— 曼弗雷德
source

不确定此方法是否确实有效，但是会降低总体安全性，因此不必解决此问题。在不降低安全性的前提下，已经提供了两种可行的解决方案。

— SturdyErde '16

此方法有效。在其他方法不能做到的情况下，这如何降低安全性呢？他们两个都建议完全禁用UAC（尽管接受的答案提供了其他一些选择）。这保留了UAC，但允许Admin组的成员实际使用在UAC上设置的权限。对我来说，这似乎是最好的方法。

— Mordred

此方法将起作用，但是通过禁用split-security-token来禁用Admin Approval Mode中立的UAC，该令牌允许一个用户以管理员身份登录而无需执行Windows等同于以root用户身份登录的操作。在禁用AAM的情况下，由管理员帐户运行的所有进程将以完全管理员权限运行，而不仅仅是那些需要这些权限并由管理员通过UAC提示批准的进程。它是UAC的核心部分，您不应禁用它。请参阅@ HopelessN00b的答案，以获取更多高级选择。

— 约书亚·汉利

0

您还可以通过GPO或在本地安全策略中为管理员禁用管理员批准模式。

本地安全策略\安全设置\本地策略\安全选项\用户帐户控制：以“管理员批准”模式运行所有管理员-已禁用

— 罗恩
source