1.6. Настройка прав доступа к файлам

В Windows 7 можно управлять правами доступа к файлам и папкам для различных пользователей. Эта возможность реализована в самой файловой системе NTFS в виде разрешений, которые хранятся для каждого файла или папки вместе с именем, размером, датой и другими атрибутами. При выполнении каких-либо операций с файлом или папкой сначала проверяется список имеющихся для него (нее) разрешений, и если для текущего пользователя разрешение на осуществление конкретного действия отсутствует, то пользователю будет отказано в выполнении данного действия.

В Windows 7 для личных файлов пользователей, приложений и компонентов системы автоматически устанавливается оптимальный набор разрешений согласно следующим основным правилам:

• Любой пользователь имеет полный доступ к папкам своего профиля и может управлять правами доступа к ним.

• При использовании учетной записи с правами обычного пользователя нельзя получить доступ к папкам других пользователей. Однако если учетная запись администратора не защищена паролем, то любой пользователь может с ее помощью войти в систему и получить доступ к файлам.

• Все пользователи могут создавать и изменять свои файлы в папке Общие или одной из ее подпапок. Файлы других пользователей можно только просматривать.

• Чтобы получить доступ к папкам другого пользователя без его разрешения, нужно обладать правами администратора. При этом пользователь автоматически будет добавлен в список разрешений для данного объекта.

• Пользователям запрещено изменение системных папок, например Windows или Program Files. Для выполнения этих операций нужно подтвердить ваши права в окне UAC.

В целях безопасности некоторые действия запрещены даже для администраторов, но изменить системный файл можно, став его владельцем.

1.6.1. Изменение разрешений для отдельных папок и файлов

Чтобы просмотреть список текущих разрешений для файла или папки, щелкните на нем правой кнопкой мыши, выберите пункт Свойства и перейдите на вкладку Безопасность (рисунок 10). Все разрешения хранятся в списках управления доступом (Access Control List - ACL).

При установке и удалении разрешений руководствуйтесь следующими основными принципами:

1. Работайте по схеме "сверху-вниз".

2. Храните общие файлы данных вместе.

3. Работайте с группами везде, где это только возможно.

4. Не пользуйтесь особыми разрешениями.

5. Не давайте пользователям большего уровня полномочий, чем это абсолютно необходимо (принцип минимизации полномочий).

Рисунок 10. Вкладка Безопасность окна свойств папки

В верхней части вкладки Безопасность содержится список пользователей и групп, для которых установлены разрешения или запреты. Выбрав в этом списке любое имя пользователя или группы, вы сможете увидеть его разрешения. В таблице 5 приведены значения имеющихся разрешений.

Таблица 5

Значения разрешений доступа

Разрешение	Значение
Полный доступ	Разрешено выполнение всех операций, в том числе можно изменять разрешения и становиться владельцем объекта.
Изменение	Разрешено выполнение всех основных операций, таких как просмотр, чтение, изменение, создание и удаление объектов. Изменять имеющиеся разрешения и становиться владельцем объекта не разрешается.
Чтение и выполнение	Разрешен просмотр файлов и запуск программ.
Список содержимого папки	Применяется только для папок и аналогично разрешению Чтение и выполнение.
Чтение	Разрешено чтение содержимого файлов и папок.
Запись	Разрешены создание файлов и запись данных.
Особые разрешения	При установке этого флажка к объекту применяются особые разрешения, просмотреть которые можно, нажав кнопку Дополнительно.

Для редактирования разрешений следует нажать кнопку Изменить; в зависимости от текущих разрешений файла для этого вам могут понадобиться права администратора. После этого вы сможете изменять разрешения для имеющихся пользователей или групп, удалять их и добавлять новые.

При редактировании разрешений обратите внимание на следующие моменты:

• При задании разрешения с более высоким приоритетом автоматически устанавливаются флажки зависимых разрешений.

• Установка флажка Запретить всегда имеет более высокий приоритет, чем Разрешить.

• Если вы измените разрешения для папки, то по умолчанию будут изменены разрешения всех вложенных объектов.

• Если определенные флажки недоступны, значит, данное разрешение наследуется от родительской папки. При отсутствии у текущего пользователя прав на изменение разрешений недоступными будут все флажки.

• При наличии в списке групп Администраторы, Пользователи или других соответствующие разрешения будут применены ко всем пользователям выбранной группы.

1.6.2. Получение доступа к файлу или папке

Разрешения для некоторых файлов могут быть установлены так, что они будут недоступны даже администраторам. Для этого достаточно, чтобы владелец файла запретил к нему доступ другим пользователям и группам, включая администраторов. Но в некоторых случаях доступ к таким файлам необходимо получить. Например:

• Вы удалили учетную запись, а файлы пользователя с ограничениями NTFS остались.

• Вы переустановили операционную систему, оставив при этом файлы, для которых пользователи предыдущей системы применили ограничения NTFS.

• Вам нужно вручную удалить файлы предыдущей операционной системы. Вы не сможете это сделать обычным способом, поскольку важные системные файлы Windows Vista и Windows 7 заблокированы от изменения и удаления с помощью ограничений NTFS.

Общая последовательность получения доступа в подобных случаях такая: сначала нужно сделать себя владельцем объекта, затем назначить права полного доступа к нему.

1. Щелкните правой кнопкой мыши на нужном файле или папке, выберите пункт Свойства и перейдите на вкладку Безопасность. При этом вы можете получить предупреждение о том, что у вас нет прав на просмотр или изменение разрешений, а сам список разрешений окажется пустым.

2. Чтобы перейти в окно смены владельца, вы можете нажать кнопку Продолжить, если такая имеется на вкладке Безопасность. При отсутствии данной кнопки нажмите кнопку Дополнительно и в появившемся окне перейдите на вкладку Владелец (рисунок 11).

Рисунок 11. Вкладка Владелец окна дополнительных параметров безопасности

3. Если элементы управления на вкладке Владелец недоступны, нажмите кнопку Изменить.

4. В списке доступных владельцев выберите имя своей учетной записи, установите флажок Заменять владельца подконтейнеров и объектов (этот флажок присутствует только для папок) и нажмите OK.

5. В дополнительном окне система предложит предоставить вам права полного доступа. Согласитесь с этим, нажав OK. Если это окно не появится, разрешения придется настраивать вручную.

6. Закройте все окна с помощью кнопки OK и повторно откройте вкладку Безопасность, после чего вы сможете просматривать и изменять разрешения для объекта.

Некоторые действия на вкладке Безопасность могут быть недоступными, поскольку объект унаследовал разрешения от родительского объекта. Чтобы отменить наследование, снова щелкните на кнопке Дополнительно, затем нажмите кнопку Изменить и снимите флажок Добавить разрешения, наследуемые от родительских объектов. После нажатия OK выберите в появившемся окне кнопку Добавить и снова нажмите OK.