8.3.2 文件访问权限的继承配置

8.3.2  文件访问权限的继承配置

【示例4】在以上系统管理员组用户共享的客户机安装软件“程序”文件夹中，有一个名为“系统”的文件夹，其中存放的是所有操作系统的源程序。而根据安全策略配置需求，系统程序的安装管理规定不能由Alice用户进行，又该如何配置呢？

在默认情况下，对父文件夹设置权限后，在该文件夹中创建的新文件和子文件夹将继承这些权限。因为在前面为Alice用户配置了对“程序”文件夹的“完全控制”权限，但现在不需要他为客户机安装系统程序，所以要取消他对其中的“系统”子文件夹的“完全控制”权限，只给他浏览的权限。

根据Windows Server 2003系统的规定，如果不希望它们继承父文件夹设置的权限，则需在为父文件夹设置特殊权限时，可在“应用于”列表框中选择“只有该文件夹”选项。如果要只阻止某些文件或子文件夹继承权限，则可在如图8-11所示的对话框中取消“允许父项的继承权限传播到该对象和所有子对象。包括那些在此明确定义的项目”复选框的选择。

如果复选框为灰色，则文件或文件夹已经继承了父文件夹的权限。有3种方法可以更改继承的权限。

把文件夹移动到新的父文件夹位置，这样文件/文件夹就将继承新的父文件夹权限，当然要求这个新父文件夹所配置的权限符合相应文件/文件夹权限需求。
 
在子文件夹权限配置对话框中（参见图8-9或图8-10）选择相反权限（“允许”或“拒绝”）以覆盖所继承的权限，然后重新进行权限设置。
 
取消选择“允许父项的继承权限传播到该对象和所有子对象。包括那些在此明确定义的项目”复选框。这样，就可以更改权限，或者从权限列表中删除用户或组。但是，文件或文件夹将不再从父文件夹继承权限。

多数情况下，“拒绝”优先于“允许”，除非文件夹从不同的父文件夹继承冲突设置。这种情况下，从子树中最接近该对象的父文件夹继承来的设置将具有优先权。

下面是小王为Alice用户配置对“程序”文件夹下的“系统”文件夹只有列出该文件夹目录的权限的配置方法。

（1）在“系统”文件夹中单击鼠标右键，在弹出的快捷菜单中选择【属性】命令，在弹出的对话框中切换到“安全”选项卡，如图8-13所示。

（2）对比图8-13和图8-10所示的对话框可知，这两个文件夹所具有的文件/文件夹访问权限是完全一样的。而且各权限复选框为灰色，不能重新设置，证明它是继承了父目录的权限设置。为此先要打断这种继承关系。单击【高级】按钮，在类似图8-10所示的对话框中取消系统默认的“允许父项的继承权限传播到该对象和所有子对象。包括那些在此明确定义的项目”复选框的选择，即弹出如图8-14所示的提示。

 图8-13  “安全”选项卡        

图8-14  “安全”提示框

（3）单击【复制】按钮，回到类似图8-11所示的对话框。重新选择Alice用户的权限配置项，然后单击【编辑】按钮，即出现如图8-15所示的对话框。从中可以看出各复选框不再是灰色的了，在此就可以重新为Alice用户配置对此文件夹的访问权限了。

（4）在“应用到”下拉列表框中选择“该文件夹，子文件夹及文件”选项（系统默认已选择了该项），在“权限”列表框“允许”列中取消除“列出文件夹/读取数据”选项外的所有复选框的选择，如图8-16所示。单击【确定】按钮使设置生效。这样，Alice用户对“系统”文件夹的访问权限重新配置工作至此就全部完成了。

图8-15  “系统的权限项目”对话框          

  图8-16  新配置的Alice用户访问权限