Главная | Контакты | Настройки

СМЕНИТЬ ПАЛИТРУ:

Права доступа. Часть 3

В этой статье мы поговорим о квотах дискового пространства и правах доступа к ресурсу. Квоты - это новая возможность Win2000, которая просто необходима в сетях большого размера, чтобы ограничить пользователя в объёме информации, хранимой на сервере.

В больших организациях, где пользователи очень интенсивно используют дисковое пространство сервера могут возникнуть проблемы с переполнением диска. Большинство пользователей не думают об уничтожении устаревшей информации на сервере думая, что он резиновый. Но это не так. В таких случаях диск переполняется и работа становится затруднённой.

Для решения этой проблемы используются квоты дискового пространства. Эта возможность появилась только в Windows 2000. В Windows NT такой возможности не было, из-за чего любой пользователь мог иметь в своём распоряжении любое количество дискового пространства. Теперь администратор может квотировать объём хранимых на сервере данных, выделяя каждому пользователю только необходимое для работы место.

При квотировании, Windows 2000 учитывает все файлы принадлежащие одному пользователю. При этом не имеет значения, на каком физическом или логическом диске находятся файлы. Вся информация воспринимается, как единое целое.

Когда пользователь превышает доступный ему объём дисковой квоты, Win2000 записывает соответствующее сообщение в журнал. По этому сообщению, администратор может вычислить, кто превысил выделенное дисковое пространство. После этого, работа может идти по двум сценариям:
- Операционная система отклоняет доступ к диску. Этот способ необходимо использовать на публичных серверах.
- Операционная система разрешит выделить дополнительное место. Если твой сервер на предприятии и недостаток дискового пространства может парализовать работу, то этот вариант твой.

Рис 1. Настройка квоты.

В любом случае, администратор может следить за тем, кто превысил доступное дисковое пространство и управлять им.

Для включения квоты необходимо щёлкнуть правой кнопкой мыши по диску (в окне "Мой компьютер") и выбрать "Свойства". Если этот диск отформатирован в NTFS, то ты в появившемся окне будет закладка "Квота". Теперь щёлкни по "Включить управление квотами" и тебе станут доступны настройки квоты. Рассмотрим параметры окна:
- Не выделять место на диске при превышения квоты - Запрет на превышении доступного дискового пространства.
- Выделять на диске не более - предел дискового пространства, которое не может превысить пользователь.
- Порог выдачи предупреждения - объём дискового пространства, при превышении которого будет выдаваться предупреждение о приближении предела.

Рис 2. Записи квот.

Остальные параметры устанавливают, что записывать в журнал. Если ты нажмёшь кнопку "Записи квот", то сможешь увидеть, кто уже превысил доступную квоту (рис 2). Помимо этого, тебе покажут кто и сколько использует дискового пространства. В столбце "Состояние" показывается статус пользователей. Если кто-то превысил доступное место, то в этом столбце будет показан специальный значок.

Для того, чтобы ограничить в пространстве конкретного пользователя, дважды щёлкни по его записи и перед тобой откроется окно параметров квоты для конкретного пользователя.

Рис 3. Параметры квоты для пользователя.

В этом окне ты можешь ограничить квотой конкретного пользователя. Это необходимо, если ты хочешь, чтобы кто-то имел больше дискового пространства, чем другие.

В этом окне ты так же указываешь максимальный предел дискового пространства для конкретного пользователя и порог, после которого произойдёт предупреждение.

Я советую тебе регулярно выставлять порог. Он должен быть примерно на 10-15% меньше, чем максимально допустимое место. Если ты выделяешь пользователю максимум 10мб, то порог выставляй в 9мб. Это даст тебе возможность заранее реагировать на возможность превышения дискового пространства, и не доводить положение до критического.

Теперь пора поговорить о правах доступа и передачи прав владения на файлы. Мы уже затрагивали теоретическую часть защиты, но тогда у меня под рукой не было серверной версии Windows, у меня дома тогда стоял Windows 2000 Professional, а писать статью на работе я не могу. Сейчас я поставил дома Windows 2000 Server и мы возвращаемся к этой тебе и обсудим её более подробно.

Рис 4. Доступ папки.

Для того, чтобы изменить права доступа файла или папки нужно войти в его свойства (щёлкнуть правой кнопкой и выбрать в меню "Свойства"). Здесь, на закладке "Доступ" ты можешь:
- Открыть общий доступ к файлу/папке;
- Указать сетевое имя (имя, которое будет отражаться в сетевом окружении);
- Комментарий (простой текст, указывающий дополнительную информацию для пользователя);
- Максимальное количество пользователей имеющих доступ к ресурсу.
- Кнопка "Разрешения" позволяет настроить правила доступа к ресурсу по сети.
- Кнопка "Кэширование" позволяет настроить тип кэширования ресурса.

Давайте разберёмся с разрешениями. Когда ты устанавливаешь разрешения на доступ к ресурсу ты защищаешь свою конфиденциальную информацию. Каждый пользователь должен иметь собственные права доступа, а если пользователь сам создал файл или папку, то он автоматически становится его владельцеми имеет на него все права.

Разрешения пользователя на доступ к файлам/папкам работают по принципу дополнения. То есть разрешения, которые пользователь реально имеет в отношении файла/каталога, образуются из всех прямых или косвенных разрешений, назначенных пользователю для данного объекта с помощью логической функции ИЛИ. Например, если пользователю разрешили читать каталог, а группе, в которой он состоит разрешили писать в каталог, то пользователю достаётся право читать и писать.

Рис 5. Разрешения.

В то же время, если не имеет доступа к каталогу, а одному пользователю разрешён, то он получит этот доступ. Это значит, что права пользователя первичной, чем права группы, в которой он состоит. Первым делом учитываются права пользователя, а потом прибавляются права группы (если они не противоречат правам пользователя). Но это только если группа не имеет доступа к каталогу. Если этот доступ запрещён, то пользователь так же не получит доступа, потому что запрет на использование ресурса важнее, чем разрешения пользователю или группе.

Теперь щёлкни по кнопке "Разрешения". Перед тобой появится окно, как на рисунке 5.

В верхней части окна ты можешь добавлять и удалять пользователей с помощью кнопок "Добавить" и "Удалить". В нижней части окна, ты можешь настраивать параметры доступа. Помни: если ты запретишь доступ к ресурсу всей группе, то ты уже не сможешь дать доступ одному из членов. Если ты не будешь запрещать доступ группе, а просто оставишь без разрешений, то ты можешь давать отдельным пользователям из группы дополнительные права на ресурс.

Рис 6. Добавление пользователей.

Если ты щёлкнешь по кнопке "Добавить", то ты увидишь окно, как на рис 6. В верхнем списке перечислены все пользователи и группы. Ты можешь добавлять их последовательно нажимая кнопку "Добавить".

Чтобы меньше мучится с добавлением пользователей, ты должен корректно использовать группы. В одну группу должны входить все пользователи с одинаковыми правами, тогда тебе не придётся добавлять громадное количество пользователей, а только указать группу и всё готово.

Рис 7. Разрешения для NTFS.

Если у тебя стоит NTFS, то настройку разрешений желательно проводить на закладке "Безопасность" окна свойств файла или папки. Здесь тебе доступны более широкие возможности настройки. Добавлять и удалять пользователей можно тем же самым способом (кнопка "Добавить" и "Удалить"). Если ты попытаешься удалить какое-то свойство, то у тебя могу возникнуть проблемы. Например ты можешь получить такое сообщение:

Вы не можете удалить "Все" поскольку этот объект наследует разрешения от своего предка. Чтобы удалить "Все", необходимо запретить наследование разрешений этим объектом. Отключите параметр наследования разрешений и повторите попытку удаления "Все".

Рис 8. Удаление связи.

Перевожу сообщение на русский язык. Если ты назначил папке разрешения, то все входящие в папку файлы и другие папки наследуют себе те же разрешения.

На этой же закладке, внизу окна есть параметр; Перенести наследуемые от родительского объекта разрешения на этот объект. Отключи его. Перед тобой появится предупреждение, как на рисунке 8. Теперь твой объект не будет связан с родительским и не будет наследовать разрешения, но тебе предлагается скопировать родительские разрешения себе, или удалить их к чёртовой бабушке. Если этот объект не должен быть доступен в сети, то тебе нужно просто удалить связку. Если ресурс нужен в сети, только с другими параметрами, то тебе нужно выбрать "Копировать" и тогда ты сможешь безболезненно редактировать разрешения только для этого объекта.

Рис 9. Дополнительные настройки разрешений.

На закладке "Безопасность" есть ещё одна интересная кнопка: "Дополнительно". Перед тобой откроется окно, как на рисунке 9.

Здесь ты можешь более чётко настроить параметры доступа к ресурсу. Ты можешь отредактировать уже созданные тобой разрешения или добавить новый.

Для редактирования, дважды щёлкни по объекту (пользователю или группе) и перед тобой появится окно, как на рисунке 10.Здесь тебе доступно большое количество дополнительных настроек доступа:

Рис 10. Дополнительные настройки разрешений.

Дальше я перечислять не буду дополнительные возможности. Все они и так ясны. Если пользователю разрешена смена владельца, то он может отдавать права на созданные им файлы.

Здесь же ты можешь сменить владельца файла. Это происходит на закладке "Владелец" (рисунок 10).

Рис 11. Владелец файла или папки.

В Windows NT владельцем файла или папки всегда является тот, кто его создал. Никто не имел права передавать права владения свои права другому пользователю. В NT только администратор имеет право стать владельцем любого ресурса пользователя.

С приходом Windows 2000 появилась возможность пользователю самостоятельно передавать права на владение своим файлом или папкой другому пользователю, если у него есть соответствующие права.

Делегирование прав на файл происходит на закладке "Владелец" окна "Параметры управления доступом...". В верхней части окна указан текущий владелец. В центре окна стоит список пользователей, которым можно делегировать владение файлом.