5.7. Возможности ntfs по ограничению доступа к файлам и каталогам

Благодаря наличию механизма расширенных атрибутов, в NTFS именно с их помощью реализованы ограничения в доступе к файлам и каталогам. Эти дополнительные атрибуты, использованные для ограничения в доступе к файловым объектам, назвали атрибутами безопасности. При каждом обращении к та­кому объекту сравнивается специальный список дискреционных прав доступа, приписанный ему, со специальным системным идентификатором, несущим информацию о том, от имени кого осуществляется текущий запрос к файлу или каталогу. Если имеется в списке необходимое разрешение, то действие выполняется, в противном случае система сообщает об отказе.

Файловая система NTFS имеет следующие разрешения, которые могут быть приписаны любому файлу и/или каталогу, и которые называются индивидуальными разрешениями. Это разрешения Read (прочитать), Write (записать), eXecute (выполнить), Delete (удалить), Change Permissions (изменить разрешения), и Take Ownership (стать владельцем). Соответствующие этим разрешениям действия можно выполнять, только если для данного пользователя или для группы (к которой он принадлежит) имеется одноименное разрешение. Другими словами, если для некоторого файла указано, что все мо­гут его читать и исполнять, то только эти действия и можно с ним сделать, если при этом не указано, что для какой-нибудь другой группы (или отдельного пользователя) имеются другие разрешения. Комбинации этих индивидуальных разрешений и определяют те действия, которые могут быть выполнены с файлом или каталогом.

Изначально всему диску, а значит, и файлам, которые на нем создаются, присвоены все индивидуальные разрешения для группы Everyone (все). Это означает, что любой пользователь, имея полный набор индивидуальных разрешений на файлы и каталоги, может изменять их по своему усмотрению, т.е. ограничивать других пользователей в правах доступа к тому или иному объекту. Если изменить разрешения на каталог, то новые файлы, создаваемые в нем, будут получать и соответствующие разрешения: они будут наследовать разрешения своего родительского каталога.

Имеются так называемые стандартные разрешения, которые, по замыслу разработчиков, следует использовать для указания наиболее распространенных комбинаций индивидуальных разрешений.

Помимо этих стандартных разрешений можно использовать специальные. Они определяются как явная комбинация индивидуальных разрешений.

Фактические разрешения для пользователя, которые он будет иметь на файл или каталог, определяются как сумма разрешений, которые он получает как член нескольких групп. У этого общего правила есть исключение. Разрешение No Access (нет доступа) имеет приоритет над остальными. Оно запрещает любой доступ к файлу или каталогу, даже если пользователю, как члену другой группы, дано необходимое разрешение. Можно сказать, что это стандартное разрешение означает не отсутствие разрешений, а наложение явного запрета, и что оно отме­няет для пользователя или группы все разрешения, установленные в остальных строках дискреционного списка прав доступа.

В табл. 6 приведены примеры стандартных разрешений NTFS.

Таблица 6

Стандартные разрешения NTFS

Стандартные разрешения NTFS	Соответствующие им комбинации индивидуальных разрешений NTFS
	Для каталогов	Для файлов
No Access (нет доступа)	Нет никаких разрешений	Нет никаких разрешений
List (просмотр)	Read, eXecute	Нет никаких разрешений
Read (чтение)	Read, eXecute	Read, eXecute
Add (добавление)	Write, eXecute	Нет никаких разрешений
Add & Read (чтение и добавление)	Read, Write, eXecute	Read, eXecute
Change (изменение)	Read, Write, eXecute, Delete	Read, Write, eXecute, Delete
Full Control (полный доступ)	Все разрешения	Все разрешения

Каталоги обычно обладают теми же разрешениями, что и находящиеся в них файлы и папки, хотя у каждого файла могут быть свои разрешения. Разрешения, которые имеются у файла, имеют приоритет над разрешениями, которые установлены на каталог, в котором находится этот файл. Например, если вы создаете каталог внутри другого каталога, для которого администраторы обладают правом полного доступа, а пользователи – правом чтения, то новый каталог унаследует эти права. То же относится и к файлам, копируемым из другого каталога или перемещаемым из другого раздела NTFS.

Если каталог или файл перемещается в другой каталог того же раздела NTFS, то атрибуты безопасности не наследуются от нового каталога. Дело в том, что при перемещении файлов в границах одного раздела NTFS изменяется только указатель местонахождения объекта, а все остальные атрибуты (включая атрибуты безопасности) остаются без изменений.

Три следующих важных правила помогут определить состояние прав доступа при перемещении или копировании объектов NTFS:

– при перемещении файлов в границах раздела NTFS сохраняются исходные права доступа.

– при выполнении других операций (создании или копировании файлов, а также их перемещении между разделами NTFS) наследуются права доступа родительского каталога.

– при перемещении файлов из раздела NTFS в раздел FAT все права NTFS теряются.