Agora vamos ver alguns detalhes sobre os sistemas de arquivos que o Windows 7 reconhece e também sobre permissões NTFS.

Um sistema de arquivos determina a maneira como o Windows 7 organiza e recupera as informações no Disco rígido ou em outros tipos de mídia. O Windows 7 reconhece os seguintes sistemas de arquivos:

• FAT
• FAT32
• NTFS
• NTFS 5

O sistema FAT vem desde a época do MS-DOS e tem sido mantido por questões de compatibilidade. Além disso se você tiver instalado mais de um Sistema Operacional no seu computador, alguns sistemas mais antigos (DOS, Windows 3.x e as primeiras versões do Windows 95) somente reconhecem o sistema FAT. Com o sistema de arquivos FAT, a única maneira de restringir o acesso ao conteúdo de uma pasta compartilhada é através das permissões de compartilhamento, as quais, conforme descrito anteriormente, não terão nenhum efeito se o usuário estiver logado localmente, na máquina onde a pasta foi compartilhada. Com a utilização do sistema FAT, alguns recursos avançados, tais como compressão, permissões NTFS, quotas de disco, compactação, criptografia e auditoria, não estão disponíveis.

O sistema FAT32 apresenta algumas melhorias em relação ao sistema FAT. Existe um melhor aproveitamento do espaço em disco, o que conseqüentemente gera menor desperdício do espaço em disco. Um grande inconveniente do sistema FAT32 é que ele não é reconhecido pelo Windows NT Server 4.0. Com o sistema de arquivos FAT32, a única maneira de restringir o acesso ao conteúdo de uma pasta compartilhada é através das permissões de compartilhamento, as quais, conforme descrito anteriormente, não terão nenhum efeito se o usuário estiver logado localmente, na máquina onde a pasta foi compartilhada. Com a utilização do sistema FAT32, alguns recursos avançados, tais como compressão, criptografia e auditoria, não estão disponíveis.

O sistema de arquivos NTFS é utilizado desde o Windows NT Server 4.0 e foi mantido no Windows 2000 e também no Windows 7 por questões de compatibilidade. É um sistema bem mais eficiente do que FAT e FAT32, além de permitir uma série de recursos avançados, tais como:

• Permissões de controle de acesso a arquivos e pastas
• Compressão
• Auditoria de acesso
• Partições bem maiores do que as permitidas com FAT e FAT32
• Desempenho bem superior do que com FAT e FAT32

Uma das principais vantagens do NTFS é que ele permite que sejam definidas permissões de acesso para arquivos e pastas, isto é, possa ter arquivos em uma mesma pasta, com permissões diferentes para usuários e grupos diferentes.

Além disso, as permissões NTFS têm efeito localmente, isto é, mesmo que o usuário faça o logon no computador onde um determinado arquivo existe, se o usuário não tiver as permissões NTFS necessárias, ele não poderá acessar o arquivo. Isso confere um alto grau de segurança, desde que as permissões NTFS sejam configuradas corretamente.

No Windows 2000 Server foi introduzido NTFS 5, a nova versão do NTFS, que é a versão utilizada pelo Windows 7. O NTFS 5 apresenta diversas melhorias em relação à versão mais antiga do NTFS, tais como:

• Criptografia de arquivos e pastas (a criptografia é uma maneira de “embaralhar” a informação de tal forma que, mesmo que um arquivo seja copiado, o arquivo se torna ilegível, a não ser para a pessoa que possui a chave para descriptografar o arquivo). Falaremos sobre criptografia de arquivos e pastas mais adiante, neste capítulo.

• Quotas de usuário, fazendo com que seja possível limitar o espaço em disco que cada usuário pode utilizar. Este assunto será abordado ainda neste capítulo.

• Gerenciamento e otimização melhorado.

• Recurso de Shadow Copies, através do qual o Windows 7 consegue manter uma cópia de versões anteriores de um arquivo, cada vez que o arquivo é alterado. Você aprenderá todos os detalhes sobre este recurso, ainda neste capítulo.

Conforme descrito anteriormente, podemos definir permissões de acesso para pastas ou arquivos, mas somente em unidades formatadas com o sistema de arquivos NTFS (seja na versão do NT Server 4.0 ou o NTFS 5 do Windows 2000 Server, Windows XP, Windows 7 e Windows Server 2003). Por isso que é aconselhável instalar o Windows 7 sempre em unidades formatadas com NTFS, pois isso melhora a segurança. As partições NTFS apresentam um desempenho um pouco inferior do que as partições FAT32, em termos de velocidade. Porém em termos de segurança não existe comparação, e por isso recomendo a utilização do sistema NTFS. Se você estiver em dúvidas, no momento da instalação do Windows 7, pode optar por formatar o disco rígido utilizando FAT 32. Depois é possível converter para NTFS, sem perda de dados. Porém cuidado, pois uma vez convertida uma partição para NTFS não é possível reverter para FAT32. A única maneira de reverter uma partição de NTFS para FAT32 é fazer um backup do disco rígido, formatando-o novamente com FAT32 e restaurar o backup.

Com relação às permissões NTFS, temos um conjunto diferente de permissões quando tratamos de pastas ou arquivos. Na Figura 7.6 temos um resumo das permissões de pasta e de arquivos, com as ações associadas com cada permissão.

Nos cabeçalhos de cada coluna estão as permissões que podem ser definidas, tais como Controle Total, Modificar, Ler & Executar, Listar conteúdo de pastas, Leitura e Gravação. Em cada linha, estão as permissões que estão englobadas em cada um destes conjuntos. Por exemplo, para Controle Total estão inclusas todas as permissões disponíveis, já para Leitura estão inclusas apenas algumas permissões e assim por diante.

Figura 7.6 - Ações associadas com as permissões de pasta e arquivos.

A seguir temos a descrição, com maiores detalhes, para cada uma das permissões listadas na Figura 7.8.

• Permissão Desviar pasta/Executar arquivo: Estas permissões são aplicadas a pastas e arquivos. Para as pastas, Desviar pasta permite ou nega a passagem através de pastas para acessar outros arquivos ou pastas, mesmo que o usuário não tenha permissões referentes às pastas desviadas (aplica-se somente a pastas). Por exemplo vamos supor que o usuário tem permissão para acessar pasta C:\Documentos, não tem permissão para acessar a pasta C:\Documentos\Ofícios e tem permissão para acessar a pasta C:\Documentos\Ofícios\2001. Neste caso, o usuário, para chegar até a pasta 2001, terá que passar pela pasta Ofícios, para a qual ele não tem permissão. Para que o usuário possa passar pela pasta Ofício, podemos atribuir-lhe a permissão Desviar pasta. Desviar pasta tem efeito apenas quando o grupo ou usuário não tem o direito de usuário Ignorar verificação com desvio no snap-in de diretivas de grupo (Por padrão, o grupo Todos têm o direito de usuário Ignorar verificação com desvio.). A permissão Executar arquivo permite ou nega a execução de arquivos executáveis (aplica-se somente a arquivos). Ao definir a permissão Desviar pasta em uma pasta, você não está automaticamente definindo a permissão Executar arquivo em todos os arquivos dessa pasta.

• Listar pasta/Ler dados: A permissão Listar conteúdo da pasta permite ou nega a exibição de nomes de arquivos e sub-pastas dentro da pasta. Essa permissão afeta apenas o conteúdo da pasta em questão, não afetando o fato de a pasta na qual a permissão está sendo definida ser listada ou não. Aplica-se somente a pastas. Ler dados permite ou nega a exibição de dados em arquivos (aplica-se somente a arquivos). Por exemplo, se o usuário tem permissão de Ler dados em um arquivo do Word, este usuário poderá abrir o arquivo, porém não poderá alterá-lo ou excluí-lo.

• Permissão Ler atributos (Atributos de Leitura): Permite ou nega a exibição de atributos de um arquivo ou pasta, como somente leitura ou oculto. Os atributos são definidos pelo NTFS. Para acessar os atributos de uma pasta ou arquivo, clique com o botão direito do mouse na pasta/arquivo e, no menu que surge, dê um clique na opção Propriedades.

• Permissão Ler atributos estendidos (Atributos estendidos de leitura): Permite ou nega a exibição de atributos estendidos de um arquivo ou pasta. Os atributos estendidos são definidos por programas e podem variar de acordo com o programa utilizado para criar cada arquivo.

• Permissão Criar arquivos/Gravar dados: Criar arquivos permite ou nega a criação de arquivos dentro da pasta (aplica-se somente a pastas). Gravar dados permite ou nega as alterações no arquivo e a substituição de um conteúdo existente (aplica-se somente a arquivos). Esta permissão é mais conhecida por permissão de Escrita (ou Alteração).

• Permissão Criar pastas/Acrescentar dados: Criar pastas permite ou nega a criação de subpastas dentro de uma pasta (aplica-se somente a pastas). Acrescentar dados permite ou nega as alterações no final do arquivo, mas não a alteração, exclusão ou substituição de dados existentes (aplica-se somente a arquivos).

• Permissão Gravar atributos: Permite ou nega a alteração de atributos de um arquivo ou pasta, como somente leitura ou oculto. Os atributos são definidos pelo NTFS. A permissão Gravar atributos não implica a criação ou exclusão de arquivos ou pastas, apenas inclui a permissão para efetuar alterações nos atributos de um arquivo ou de uma pasta.

• Permissão Gravar atributos estendidos: Permite ou nega a alteração de atributos estendidos de um arquivo ou pasta. Os atributos estendidos são definidos por programas e podem variar de acordo com o programa utilizado para a criação de cada arquivo. A permissão Gravar atributos estendidos não implica a criação ou exclusão de arquivos ou pastas, apenas inclui a permissão para efetuar alterações nos atributos de um arquivo ou de uma pasta.

• Permissão Excluir subpastas e arquivos: Permite ou nega a exclusão de subpastas e arquivos, mesmo que a permissão Excluir não tenha sido concedida na subpasta ou arquivo (aplica-se a pastas). Por exemplo, se você não tem permissão de Excluir na pasta Documentos, mas tem permissão de Excluir em um arquivo memo.doc, que está dentro da pasta Documentos, você conseguirá Excluir o documento memo.doc, pois as permissões de arquivo têm precedência sobre as permissões de pastas, quando conflitantes.

• Permissão Excluir: Dá permissão de exclusão sobre um determinado objeto, tal como uma pasta ou arquivo. Se você for excluir uma pasta, mas não tiver permissão de exclusão em uma subpasta ou arquivo que está dentro da pasta a ser excluída, você receberá uma mensagem de acesso negado, quando o Windows 7 for excluir o primeiro objeto para o qual você não tem a permissão Excluir.

• Permissão Ler permissões: Permite ou nega a leitura de permissões do arquivo ou pasta, como Controle total, Ler e Gravar. Se o usuário não tiver esta permissão, ele não poderá exibir a lista com as permissões definidas para um arquivo e/ou pasta.

• Permissão Alterar permissões: Permite ou nega a alteração de permissões do arquivo ou pasta, como Controle total, Ler e Gravar. Esta é uma permissão “poderosa” e que deve ser utilizada com cuidado. Uma vez que o usuário tem permissão para Alterar permissões, ele pode perfeitamente atribuir Controle total para si mesmo, ou seja, para a sua conta de usuário. Por padrão, somente quem tiver a permissão Controle Total, terá a permissão Alterar Permissões.

• Permissão Apropriar-se (Take Ownership): Permite ou nega a apropriação do arquivo ou pasta. O proprietário de um arquivo ou pasta sempre pode alterar permissões, independentemente de qualquer permissão existente que proteja o arquivo ou pasta. O dono de um arquivo ou pasta, por padrão, é o usuário que cria o arquivo/pasta. Por padrão, somente quem tiver a permissão Controle Total, terá a permissão Alterar Permissões.

• Permissão Sincronizar: Permite ou nega a espera de segmentos diferentes no identificador para o arquivo ou pasta e a sincronização com outro segmento que possa sinalizá-lo. Essa permissão aplica-se somente a programas de vários segmentos e processos, envolvidos com processos de replicação de dados.

Todo arquivo ou pasta em uma unidade formatada com o sistema de arquivos NTFS possui uma “Lista de controle de acesso (Access Control List) – ACL. Nesta ACL fica uma lista de todas as contas de usuários e grupos para os quais foi garantido acesso para o recurso, bem como o nível de acesso de cada um deles.

Existem alguns detalhes que devemos reforçar/revisar sobre as permissões NTFS (principalmente para quem vai fazer os exames de Certificação do Windows 7, tal como o Exame 70-680):

• Permissões NTFS são cumulativas, isto é, se um usuário pertence a mais de um grupo, os quais tem diferentes níveis de permissão para um recurso, a permissão efetiva do usuário é a soma das permissões.

• Permissões NTFS para um arquivo têm prioridade sobre permissões NTFS para pastas. Por exemplo se um usuário tem permissão NTFS de escrita em uma pasta, mas somente permissão NTFS de leitura para um arquivo dentro desta pasta, a sua permissão efetiva será somente a de leitura, pois a permissão para o arquivo tem prioridade sobre a permissão para a pasta.

• Negar uma permissão NTFS tem prioridade sobre permitir. Por exemplo, se um usuário pertence a dois grupos diferentes. Para um dos grupos foi dada permissão de leitura para um arquivo e para o outro grupo foi Negada a permissão de leitura; o usuário não terá o direito de leitura, pois Negar tem prioridade sobre Permitir.

Agora que já vimos a teoria necessária, vamos praticar um pouco. Nos próximos tópicos iremos aprender a compartilhar pastas, atribuir permissões de compartilhamento. Iremos aprender a acessar pastas compartilhadas através da rede. Depois vamos trabalhar um pouco com as permissões NTFS. Veremos como atribuir permissões NTFS e testar uma série de situações práticas.

IMPORTANTE: Para os exemplos práticos das próximas lições, vamos utilizar as contas e grupos criados no Capítulo 7: user1, user2, user3, user4 e user5, bem como os respectivos grupos: vendas, diretoria e empresa. No Capítulo 6, após alterarmos as diretivas locais de segurança, para definir novas políticas de segurança para as senhas dos usuários, é possível que algumas contas tenham sido bloqueadas. O Windows 7 bloqueia as contas que não atendem às novas definições e diretivas de segurança. Por exemplo, se definimos que o tamanho mínimo da senha será de 8 caracteres, serão bloqueadas todas as contas com senha menor do que 8 caracteres. Para evitar que estas contas sejam bloqueadas, vamos redefinir a senha de cada conta. Abra o console Gerenciamento do computador, navegue até a opção Usuários e grupos locais, dê um clique na opção Usuários e localize cada usuário criado no capítulo anterior: user1, user2, user3, user4 e user5 (se você tiver alguma dúvida sobre o gerenciamento de contas de usuários e como usar estas opções, volte ao Capítulo 6 e revise os tópicos relativos a contas de usuários e grupos). Dê um clique duplo na conta do usuário, para abrir a janela de propriedades da conta. Se a opção Conta bloqueada estiver marcada, desmarque-a e dê um clique no botão OK. Quando uma conta está bloqueada, ela não é exibida na lista de contas que é mostrada na inicialização do Windows 7. Agora que já desbloqueamos as contas, vamos redefinir a senha de uma por uma. Clique com o botão direito do mouse na conta user1, no menu de opções que é exibido dê um clique na opção Definir senha. Surge uma janela de aviso. Dê um clique no botão Prosseguir. Será exibida uma janela para que você digite e confirme a nova senha do usuário user1. Digite senha123 e confirme. Dê um clique no botão OK. Surge uma janela com um aviso de que a senha foi redefinida com sucesso. Dê um clique no botão OK. Redefina a senha para as demais contas: user2, user3, user4 e user5. Para estas contas utilize a mesma senha: senha123.

Com isso temos a seguinte configuração de usuários/grupos:

Grupos criados no Capítulo 6:

Utilizaremos estes grupos e usuários para definir as permissões de compartilhamento e também as permissões NTFS, nos exemplos práticos das próximas lições.