NTFS - hromadná změna/oprava oprávnění

17.4.2014 14:18 | Přečteno: 3331× | windows | poslední úprava: 18.4.2014 08:38

Dnes je tu něco ze světa Windows, konkrétně občasný problém, kdy dojde k hromadnému odstranění práv na nějaké složce a její podsložkách a souborech, nebo v případě skrytí složky, které nejde zrušit.

Problémy s oprávněními a atributami na složkách a souborech

Ukážeme si dva nejčastější případy, které se řeší.

Červíček bordýlek - nejde zrušit skrytí složky

Je to asi rok, co jsem viděl krásný bordel, který upravil externí hdd. Všechny adresáře skryl, nastavil je jako systémový a místo nich vytvořil zástupce, které volaly jednak explorer a browse skryté složky, ale hlavně v mezikroku ten červík pomocí onoho zástupce spouštěl sám sebe a tak si zajišťoval šíření a kontrolu nad PC, kde se disk nacházel.

V takovém případě stačilo projet disk na linuxu, smazat červíka, smazat odkazy, ale již byl problém (i v samotných windows) zrušit skrytí složek. Je to jeden z těch případů, kdy Windows klikátka nestačí (adresář nedostane jen příznak skrytý, ale i příznak systémový, čímž dojde k zašednutí atributů ve vlastnostech souboru - tzn., nejde odškrtnout, aby adresář již nebyl skrytý), což uživatel netuší. V takovém případě nastupuje cmd. Tento konkrétní problém se řeší pomocí utilitky "attrib", konkrétně pak takto :

# odstraň read-only, system, hide ze složky :
attrib -r -s -h "G:\Skyrta_slozka" /D

# více viz :
attrib /?

Zmíněný příkaz samozřejmě spouštíme nejlépe v cmd, které je spuštěno jako administrátor.

Administrátor nemá oprávnění pro změnu práv

Může k tomu dojít různými způsoby. Práva na složku může odstranit/změnit nějaký červ/vir/bordel, nebo i špatný zásah administrátora, popř. nevhodně nastavenými oprávněními, kdy uživateli dáme práva pro jejich změnu. Jak se pak má řešit problém, kdy ani administrátor nemá oprávnění pro úpravu oprávnění?

Jednoduše se to řeší tak, že se přebere vlastník složky, na což má administrátor práva. Tzn., vlastnosti složky -> zabezečení -> Upřesnit -> Vlastník -> a zde nahradíme vlastníka administrátorem.
Dalším možným způsobem je to kombinovat s vypínáním / zapínáním dědění práv od nadřazených složek apod.

Toto řešení funguje, ale problémem je, že je sakra pomalé a vyřeší se tím problém jen na konkrétní složce, nikoli podsložkách, souborech v onom adresáři atd. Když má tedy člověk tento problém na nějaké složce, kde má stovky souborů a podadresářů, je téměř nereálně časově náročné to všechno překlikat. Řešení? Opět cmd. Nedjříve si však pomocí výše popsaného klikacího způsobu opravíme oprávnění na hlavní složce, např. "D:\share\data\" (nastavíme oprávnění pro vhodnou skupinu, uživatele atd.). Až toto budeme mít, tak si spustíme cmd jako správce a šup na opravu :

# hromadně přebereme jako administrátor vlastníka na sebe :
takeown /F "D:\share\data\*" /R /A

# vrátíme oprávnení do výchozího stavu (dědíme od složky "data"):
icacls D:\share\data\* /reset /t /c /q

# více viz :
icacls /?

icacls samozřejmě umí i backup/restore acl.

Pro WinXP like zde máme "cacls".

Není dědění oprávnění jako dědění

NTFS neumí dědění práv jako takové, jednak pro změnu oprávnění na nadřazené složce klikátko projde všechny podsložky (změna práv na nějakém větším objemu dat trvá docela dlouho, stejně jako na linuchu), dále se člověk nemálokrát může setkat s tím, že podsložka má zapnuté dědění oprávnění, ale oprávnění má úplně jiná, než složka nadřazená). Windows má celkem funkční klikátko, které se o to umí postarat a umí hromadně změnit oprávnění na složkách, podsložkách atd. Ovšem i toto klikátko má občas nějaké menší problémy. Je tedy třeba vnímat dědění v rámci Windows (kdy to mají pekně ošefováno, nejen v rámci nastavování, ale i v rámci práce se soubory a adresáři, kdy člověk skutečně potřebuje dědění) vs. skutečná práva na ntfs.

Závěr

S posledním zmíněným problém jsem se setkal i na Windows serveru 2012. Někdo si řekne, že zlatý chmod a chown (k nimž se ještě musí připočíst ACL). Osobně si myslím, že když zná člověk pár cmd, tak Windows nejsou v některých věcech tak nepohodlné, jak se zaujatě od nezasvěcených předpokládá.

       

Komentáře

[kralyk z abclinuxu]

Skrytost souborů na ntfs by z linuxu měla jít nastavit (přes ntfs-3g):

setfattr -n system.ntfs_attrib_be -v <hodnota> <file>

[Bedňa]

Může k tomu dojít různými způsoby. Práva na složku může odstranit/změnit nějaký červ/vir/bordel, nebo i špatný zásah administrátora

Alebo sa to posere samo, po random prépisaní nejakej bíkoviny, toto som neraz zažil keď som tento "system" ešte používal. Nedávno som sa účastnil rozhovoru ako pri čerstvej inštalácií sa pozerá na súbor a pritom sa nedá otvoriť, systém ho nenájde (ten win vyhladávač). Prieskumník ukazuje že má nejakú veľkosť. Hovorím mu, klikni na vlastnosti súboru a pozri si to tam. To mu ukázalo nulu. Tak mu hovorím stiahni si nejaký nástroj čo ti odstráni biele znaky zo súboru Win je na to háklivý. Po tom poučení som bol ignorovaný a debata čo sa tam strhla mi zdvihla žalúdok a musel som to ukončiť :)

[Miloslav Ponkrác]

První bod pomocí klikátek:

Ovládací panely -> Možnosti složky -> Zobrazit -> Skryté soubory a složky -> přepnout radio button na položku Zobrazit skryté soubory, složky a jednotky.

Následně vidíme vše v Průzkumníkovi. Není problém kdekoli kliknout pravou packou myši, objeví se pop up menu, vybrat Vlastnosti, a odškrtnout v nich atritut Skrytý.

Ve Windows na běžné věci není třeba vůbec do příkazového řádku jít. Ačkoli ta možnost tu je.

[Max]

Mýlíš se, jelikož neumíš číst. V blogu neřeším, jak zrušit "obyčejné" skrytí adresáře, ale jak zrušit skrytí adresáře, který má tuto možnost ve vlastnostech zašedlou a tím pádem nejde klikátkem změnit. Je to dáno tím, že adresář má příznak systémový, čímž dojde k zašednutí možností ve vlastnostech. Si to zkus sám, vytvoř si adresář "C:\aaa" a dej mu příznam systémový a skrytý :

attrib +s +h aaa

Pak si dej vlastnosti a zkus ten příznak "skrytý" zrušit.
Zdar Max

[Max]

Resp. jsem to tam možná měl explicitně zmínit, proč ten příznak klikátkem nejde zrušit, doplním to tam.
Zdar Max

[Miloslav Ponkrác]

Pak se ale neumíte vyjadřovat. Atribut „hidden“ (skrytý} je něco jiného, než atribut „system“ (systémový). To, že mícháte dohromady holínky a hodinky je vina Vaše.

Atribut „system“ nebrání viditelnosti ve Windows průzkumníkovi, pokud si to nastavím. Ve své podstatě ho nepotřebuji rušit. Pokud ano, použiji libovolné grafické udělátko odvozené od Nortona commandera, který umí atributy nastavit hromadně.

Je pak těžké číst texty, kde si autor volně vykládá termíny, jak se mu to hodí.

Chápu, že cílem tohoto článku bylo si trochu zanadávat na Windows a ukázat, že Linux je king. A já jsem pak rušivý element tohoto záměru, čemuž také rozumím.

[Agent]

A tak zase instalovat kvuli tomu extra program když to jde z CMD je celkem zbytečnost.

Autor tady naopak ukazuje, že i Widle uměji když chtěji.

[Max]

Buď jsem úplně blbej, nebo vy nechápete psaný text. Tvrdím snad někde, že je atribut systém jako hidden? Já tvrdím, že když nastavím pomocí cmd atribut systém a zároveň hidden, tak windows klikátko na oprávnění neumí zrušit atribut "hidden" (zřejmě asi proto, že nějak bere v úvahu atribut system). Také nikde netvrdím, že takový adresář nelze zobrazit. Zobrazit jde, jen pomocí klasického win klikátka nejdou zrušit zmíněné příznaky.
A ta poslední věta? To má být co? Evidentně totální nepochopení článku. Nadávám snad někde na windows? V článku, na který reagujete, tvrdím pravý opak, takže netuším, co se komu snažíte vsugerovat :-/.
Zdar Max

[regine2]

Vždy, když čtu něco takového o právech v souborovém systému, ta se slzou v oku si vzpomenu na správu Novell Netware

Netware

Proč, když něco dobrého bylo, se nikdo nepoučí? Že ano pamětníci. I když Netware zaniklo, mělo by se o jeho způsobu způsobu přidělování práv (i s GUI nadstavbou) vyučovat.

[Max]

Hehehe, víš, v čem je vtip? My Netware stále máme a je naším hlavním file serverem :). Nicméně se blíží doba, kdy bude nahrazen Windows Serverem.
Na Netware je vskutku geniální nastavování oprávnění, které trvá mžik, ať je objem dat jakýkoli.
Bohužel, přecijen přestává dostačovat svými limity, dalším problémem může být i bezpečnost. Škoda toho, dobu jistě předběhl, ale asi neudržel tempo.
Zdar Max

[Miloslav Ponkrác]

Nedotáhl to do desktopového systému a to ho položilo. Klidně to mohl udělat, ale nešel touto cestou.

[regine2]

bitva Novell vs Microsoft - obrázek viděný někdy začátkem 90tých let

[Max]

Pokud jste ten Ponkrác, co reagoval a byl v diskusi zde: NetWare zamíří v srpnu na Linux, tak víte, že to asi nebude ten důvod. Tak nějak nevím, zda tu nakonec nereaguje jen nějaký troll :-/.
Zdar Max