Смена владельцев файлов и других объектов
Описание рекомендаций, расположения, значений, управления политиками и рекомендаций по обеспечению безопасности для параметра политики безопасности «Передача прав владения файлами или другими объектами «.
Справочные материалы
Этот параметр политики определяет, какие пользователи могут владеть любым защищаемым объектом на устройстве, включая объекты Active Directory, файлы и папки NTFS, принтеры, разделы реестра, службы, процессы и потоки.
У каждого объекта есть владелец, независимо от того, находится ли он в томе NTFS или базе данных Active Directory. Владелец определяет, как задаются разрешения для объекта и кому предоставляются разрешения.
По умолчанию владельцем является пользователь или процесс, создавший объект . Владельцы всегда могут изменять разрешения на объекты, даже если им запрещен доступ к объекту.
Возможные значения
- Определяемый пользователей список учетных записей
- Не определено
Рекомендации
- Назначение этого права пользователя может быть угрозой безопасности. Так как владельцы объектов имеют полный контроль над ними, назначьте это право только доверенным пользователям.
Расположение
Computer Configuration\Windows Settings\Security Settings\Local Policies\User Rights Assignment
Значения по умолчанию
По умолчанию этот параметр имеет значение Администраторы на контроллерах домена и на автономных серверах.
В следующей таблице приведены фактические и действующие значения по умолчанию для этой политики. Значения по умолчанию также можно найти на странице свойств политики.
| Тип сервера или объект групповой политики | Значение по умолчанию |
|---|---|
| Default Domain Policy | Не определено |
| Политика контроллера домена по умолчанию | Администраторы |
| Параметры по умолчанию для автономного сервера | Администраторы |
| Действующие параметры по умолчанию для контроллера домена | Администраторы |
| Действующие параметры по умолчанию для рядового сервера | Администраторы |
| Действующие параметры по умолчанию для клиентского компьютера | Администраторы |
Управление политикой
В этом разделе описаны компоненты, средства и рекомендации, которые помогут в управлении этой политикой.
Перезапуск устройства не требуется, чтобы этот параметр политики вступил в силу.
Изменения прав пользователя вступают в силу при его следующем входе в учетную запись.
Владение может быть взято на себя:
- Администратор. По умолчанию группе Администраторы предоставляется право пользователя На владение файлами или другими объектами .
- Любой пользователь или любая группа, у которых есть право владельца на объекте.
- Пользователь, имеющий право на восстановление файлов и каталогов .
Владение может быть передано следующими способами:
- Текущий владелец может предоставить право владения другому пользователю, если он является членом группы, определенной в маркере доступа текущего владельца. Чтобы завершить передачу, пользователь должен стать владельцем.
- Администратор может взять на себя ответственность.
- Пользователь с правом восстановления файлов и каталогов может дважды щелкнуть Другие пользователи и группы и выбрать любого пользователя или группу, которым будет назначено право владения.
Групповая политика
Параметры применяются в следующем порядке через объект групповая политика , который перезаписывает параметры на локальном компьютере при следующем обновлении групповая политика:
- Параметры локальной политики
- Параметры политики сайта
- Параметры политики домена
- Параметры политики подразделения
Если локальный параметр выделен серым цветом, он указывает, что объект групповой политики в настоящее время управляет этим параметром.
Вопросы безопасности
В этом разделе описывается, каким образом злоумышленник может использовать компонент или его конфигурацию, как реализовать меры противодействия, а также рассматриваются возможные отрицательные последствия их реализации.
Уязвимость
Любой пользователь с правом пользователя Взять на себя права владения файлами или другими объектами может управлять любым объектом, независимо от разрешений на этот объект, а затем внести любые изменения, которые они хотят внести в этот объект. Такие изменения могут привести к раскрытию данных, повреждению данных или отказу в обслуживании.
Противодействие
Убедитесь, что только локальная группа администраторов имеет право пользователя Взять на себя ответственность за файлы или другие объекты .
Возможное влияние
Нет. По умолчанию для локальной группы администраторов используется ограничение права пользователя » Взять на себя права владения файлами или другими объектами «.
Связанные темы
Windows 10 как удалить текущего владельца папки
Подобной папкой может быть Boot, cmdcons или любая другая старая системная папка на файловой системе NTFS, которая осталась на диске, когда он был системным. Надеюсь, все знают, что удалять системные папки и файлы на системной диске может быть не совсем удачной идеей. Скорее всего Вы понимаете, что делаете, когда хотите удалить «не удаляемую» папку. Ниже приведена простая пошаговая инструкция, как это надо делать.
Кратко суть описанной далее процедуры — надо стать владельцем папки (файла, или папки с файлами и каталогами), после чего у Вас появится возможность её удалить. Чтобы стать владельцем папки, нужно обладать правами администратора. Если Вы в курсе, то дальше можете не читать, и так уже понятно что надо делать. Если сомневаетесь, то вот процесс по шагам.
1. Сначала надо запустить Проводник (explorer.exe) с правами администратора. Нажмите комбинацию клавиш Win+X, в открывшемся меню выберите Windows PowerShell (администратор). Откроется окно командной строки, из которой можно запускать программы с правами администратора. Наберите команду explorer и нажмите Enter.
2. Запустится Проводник. Найдите в нем папку или файл, который надо удалить. Если папка или файл не отображается, но нужно разрешить просмотр скрытых папок и файлов (меню Файл -> Изменить параметры папок и поиска -> закладка Вид -> поставьте галочку Показывать скрытые файлы, папки и диски).
3. Кликните правой кнопкой на папку, и в контекстном меню выберите Take Ownership (стать владельцем). Вуаля! Теперь можно делать с папкой все что угодно.
Однако на этом последнем шаге могут быть и тонкости. Если в папке находятся другие папки и/или файлы, то может понадобиться (не всегда) распространить права владельца также и на них. Для этого надо воспользоваться опциями на закладке Безопасность свойств папки, и выполнить еще несколько шагов. Откройте правым кликом на папке контекстное меню, выберите Свойства, откроется окно редактирования свойств папки.
4. На закладке Безопасность кликните на кнопку Дополнительно. Откроется окно, где можно в диалоговом режиме установить владельца папки и её содержимого. В верхней части окна, справа от имени/идентификатора владельца кликните на ссылку Изменить. Откроется окно выбора пользователя или группы. Здесь тоже есть кнопка Дополнительно, кликните её. Кликните Поиск, в открывшемся списке выберите пользователя или группу пользователей, к которой Вы принадлежите, например группу Пользователи. Кликните ОК.
5. Поставьте галочку Заменить все записи разрешений дочернего объекта наследуемыми от этого объекта. Кликните ОК, подтвердите Да, и закройте окно свойств папки кликом OK.
Теперь можно удалить эту папку и все её содержимое.
Как изменить владельца файла или папки в Windows 10
Много раз вам нужно сменить владельца файла или папки на другого пользователя. Для этого может быть много причин — передача файлов другому пользователю, старая учетная запись удаляется, и все файлы должны быть назначены новому пользователю. По умолчанию Windows сохраняет эти файлы заблокированными под учетной записью, которая создала файл или папку. Никто другой не может редактировать или получать доступ к контенту, если он не является администратором или файл принадлежит им. Мы видели, как стать владельцем файлов и папок. Теперь давайте посмотрим, как вы можете изменить владельца файлов.
1] Откройте проводник и перейдите к файлу или папке, владельцем которых вы хотите изменить. Щелкните правой кнопкой мыши на нем, а затем нажмите свойства.
2] Перейдите на вкладку «Безопасность» в окне свойств и нажмите кнопку «Дополнительно» в правом нижнем углу. Это откроет дополнительные параметры безопасности этого файла или папки.
3] В этом окне текущий владелец будет указан со ссылкой «Изменить» (рядом с меткой «Владелец:»). Нажмите на нее. Откроется окно выбора пользователя или группы. Снова нажмите доступную кнопку «Дополнительно», а затем нажмите кнопку «Найти сейчас».
4] В нем будут перечислены все пользователи и группы, доступные на компьютере. Выберите пользователя, которому хотите передать право собственности, и нажмите «ОК», а затем снова «ОК».
5] Вы вернетесь к дополнительным настройкам безопасности, но владелец изменится на того, кого вы выбрали. Есть две дополнительные опции, которые нужно проверить. Они помогут вам передать право собственности на вложенные папки и файлы внутри него.
- Заменить владельца на субконтейнеры и объекты
- Замените все дочерние записи разрешений на наследуемые записи разрешений от объекта.
Как только вы подтвердите изменения, он полностью передаст право собственности. Однако есть еще одно, что вам нужно сделать. Чтобы удалить доступ любого другого пользователя, вернитесь в Дополнительные параметры безопасности и удалите любого существующего пользователя. Это позволит убедиться, что только назначенный пользователь имеет доступ к файлу или папке.
Насколько публикация полезна?
Нажмите на звезду, чтобы оценить!
Смена владельца папки или файла с помощью команды Takeown.exe
В Windows можно изменить владельца файла или папки через графический интерфейс Проводника Windows (откройте свойства файла -> Безопасность –> Advanced -> Owner –> Change) или с помощью встроенной консольной утилиты takeown.exe. В этой статье мы покажем, как изменить владельца файла в командной строке с помощью команды takeown.
Чтобы изменить владельца файла вы должны быть его владельцем или обладать правами администратора.
Обратите внимание, что с помощью команды takeown вы сможете назначить владельцем только текущего пользователя или локальную группу администраторов. Команда не позволяет указать в качестве владельца каталога или файла произвольного пользователя или группу.
Утилита takeown.exe по умолчанию находится в каталоге C:\Windows\System32, поэтому для ее использования не нужно указывать полный путь к ней. Команда takeown имеет следующий синтаксис:
Рассмотрим основные параметры команды takeown:
- /F — здесь нужно указать полный путь к файлу или каталогу, владельца которого нужно изменить. Можно использовать символ подстановки *.
- /S — вы можете указать IP адрес или имя удаленного компьютера, на котором нужно выполнить команду takeown. По умолчания команда выполняется на текущем компьютере.
- /U и [/P — используется для указание учетных данных пользователя, под которым нужно выполнить команду takeown.
- /A – назначить владельцем не текущего пользователя (из-под которого запущена команда), а локальную группу администраторов. Если параметр не указан владельцем файла назначается текущий пользователь, под которым выполняется команда takeown.
- /R – указывает, что нужно рекурсивно изменить владельцев всех вложенных файлов и папок в указанном каталоге.
- /D – если у текущего пользователя нет прав доступа на просмотр содержимого каталога (list files), нужно ли изменять владельца данных файлов. Y – изменить владельца, N – пропустить файлы.
Полный синтаксис и помощью по команде можно получить так:
Рассмотрим несколько примеров использования командой takeown.
Назначить себя владельцем каталога C:\PS:
Чтобы изменить владельца всех файлов в каталоге, используйте команду:
Если запущена непривелигированная командная строка, или у текущего пользователя нет прав на каталог, появится ошибка
Ошибка. Текущий вошедший пользователь не имеет привилегий владельца на файл (или папку) «C:\PS».
После того, как вы назначали себя владельцем, вы сможете получить доступ к папке. Если к этой папке получают доступ другие пользователи, нужно проверить и изменить доступ с помощью утилиты icacls или проводника Windows.
Назначить себя владельцем файла testfile.txt на удаленном компьютере msk-sal-15-21.vmblog.ru:
takeown /F «C:\testfile.txt» /S msk-sal-15-21.vmblog.ru
При выполнении данных команд вы получите сообщение о том, что вы успешно стали владельцем конкретного файла или отдельных файлов в указанной вами папке.
Назначить владельцем всех тестовых файлов в каталоге C:\SharedFolder группу администраторы можно так:
takeown /F C:\SharedFolder\*.txt /A
Чтобы назначить группу администратором владельцем всех вложенных файлов и каталогов и пропустить каталоги, к которым у пользователя нет доступа:
takeown /F C:\PS\ /A /R /D Y
Назначить текущего пользователя владельцев всех файлов с расширением *.docx в общей сетевой папке Public на сервер msk-fs1:
takeown /S msk-fs1 /F Public\*.docx
Совет. Не стоит без осознанной необходимости переназначать владельца для корневых системных папок (c:\Windows, c:\Users\, c:\Program Files и т.д.) или для всего системного раздела – вы можете повредить систему.