Windows Server 2003
Permissões NTFS
Autor: Fabiano de Santana
Certificações: MVP – MCSA 2000/2003 Security – MCSE 2000/2003 Security – ITIL Foundation
Data de criação: 10/12/2008
Introdução
Em se tratando do sistema de arquivos NTFS, contamos com o recurso de permissões em arquivos e pastas. Com isso, podemos definir quem pode acessar um arquivo ou pasta, contribuindo assim para uma maior segurança das informações armazenadas em um servidor Windows 2003.
Vejamos os tipos de permissões para arquivos e pastas:
- Permissões NTFS para pastas:
- Leitura: lista as pastas e arquivos localizados dentro de uma pasta, visualiza as permissões, donos e atributos.
- Gravar: cria arquivos, subpastas, altera o atributo da pasta e visualiza o dono e as permissões.
- Listar conteúdo da pasta: lista o conteúdo das pastas, visualiza o nome do arquivo e subpastas.
- Ler e Executar: equivale às permissões ler e listar conteúdo da pasta. Permite a um usuário navegar por pastas que não tenha permissão para alcançar um arquivo ou pasta que tenha permissão.
- Modificar: equivale às permissões gravar e ler e executar. Além disso, permite a exclusão de pastas.
- Controle Total: equivale à soma de todas as outras permissões NTFS. Pode alterar as permissões da pasta, tornar-se dono da pasta e excluir pastas e arquivos.
Figura 1 – Permissões NTFS de pastas
- Permissões NTFS para arquivos:
- Leitura: leitura de arquivo, visualização do dono do arquivo, atributos e permissões.
- Gravar: grava arquivos, altera atributos da pasta e visualiza o dono e as permissões da pasta.
- Ler e Executar: equivale à permissão leitura. Executa aplicativos.
- Modificar: equivale às permissões gravar e executar. Modifica e exclui arquivos.
- Controle Total: equivale à soma de todas as outras permissões NTFS. Pode alterar as permissões de arquivos e tornar-se dono do arquivo.
Figura 2 – Permissões NTFS de arquivos
Exemplo prático – Verificar as permissões NTFS atribuídas a um arquivo ou pasta.
- Clique com o botão direito sobre um arquivo ou uma pasta e selecione a opção Propriedades.
- Aqui você poderá fazer todas as configurações necessárias, relacionadas com a segurança da pasta ou arquivo.
Algumas considerações sobre permissões NTFS:
- Ao trabalharmos com o sistema de arquivos NTFS, todos os arquivos e pastas possuem uma Lista de Controle de Acesso (ACL). Nessa lista encontram-se todos os usuários e grupos que possuem permissão de acesso. Cada registro dentro da ACL corresponde a uma Entrada na Lista de Acesso (ACE).
- As permissões NTFS são cumulativas, ou seja, se um usuário possui permissão em um arquivo e esse mesmo usuário faz parte de um grupo que possui outra permissão no mesmo arquivo, a permissão efetiva do usuário será a soma dessas duas permissões.
- As permissões aplicadas nos arquivos têm maior prioridade sobre as permissões aplicadas nas pastas.
- Negar tem prioridade sobre todas as outras permissões, ou seja, se um usuário pertence a dois grupos e um dos grupos possui a permissão negar em uma pasta, independente da permissão que ele tiver no outro grupo, a permissão efetiva desse usuário na pasta será negar.
- Ao copiar um arquivo ou pasta para a mesma partição, as permissões serão herdadas da pasta pai de destino.
- Ao mover um arquivo ou pasta para a mesma partição, as permissões serão mantidas.
- Ao mover um arquivo ou pasta para uma outra partição, as permissões serão herdadas da pasta pai de destino.
- Existe o conceito de Herança de Permissões. Ou seja, ao criarmos uma pasta ou arquivo, as permissões serão herdadas da pasta pai. Isso evita que tenhamos que configurar as permissões todas vezes que criamos uma pasta ou arquivo. Podemos quebrar essa herança caso necessário.
Exemplo prático – Quebrar a herança de permissões.
- Clique com o botão direito sobre uma pasta ou arquivo e selecione Propriedades.
- Desmarque a caixa Permitir que as permissões herdáveis do pai sejam propagadas a este objeto e a todos objetos filho. Incluí-las nas entradas explicitamente definidas aqui.
Figura 3 – Configurações de segurança avançadas
- Será exibida uma janela perguntando se você deseja Copiar (copia as permissões herdadas da pasta pai), Remover (remove todas as permissões herdadas da pasta pai) ou Cancelar (anula a operação). Escolha a opção desejada e clique em OK.
Figura 4 – Herança de permissões
Um último ponto importante a ser tratado sobre NTFS são as permissões especiais. Vejamos quais são essas permissões especiais:
- Desviar pasta / Executar arquivo: a permissão desviar pasta permite a navegação através de pastas para acessar outros arquivos ou pastas, mesmo que o usuário não tenha permissão para as pastas desviadas. Aplica-se somente a pastas. A permissão executar arquivo permite ou nega a execução de arquivos de programa. Aplica-se somente a arquivos.
- Listar pasta / Ler dados: a permissão listar pasta permite ou nega a exibição de nomes de arquivos e subpastas dentro de uma pasta. Aplica-se somente a pastas. A permissão ler dados permite ou nega a exibição de dados em arquivos. Aplica-se somente a arquivos.
- Atributos de leitura: permite ou nega a exibição de atributos de arquivos ou pastas.
- Ler atributos estendidos: permite ou nega a exibição de atributos estendidos de arquivos ou pastas.
- Criar arquivos / Gravar dados: a permissão criar arquivos permite ou nega a criação de arquivos dentro da pasta. Aplica-se somente a pastas. A permissão gravar dados permite ou nega alterações no arquivo e a substituição de um conteúdo existente. Aplica-se somente a arquivos.
- Criar pastas / Acrescentar dados: a permissão criar pastas permite ou nega a criação de uma pasta dentro da pasta. Aplica-se somente a pastas. A permissão acrescentar dados permite ou nega as alterações no final no arquivo, mas não a alteração, exclusão ou substituição dos dados existentes. Aplica-se somente a arquivos.
- Atributos de gravação: permite ou nega a alteração de atributos de um arquivo ou pasta.
- Gravar atributos estendidos: permite ou nega a alteração de atributos estendidos de um arquivo ou pasta.
- Excluir subpastas e arquivos: permite ou nega a exclusão de subpastas e arquivos, mesmo que a permissão excluir não tenha sido concedida na subpasta ou arquivo.
- Excluir: permite ou nega a exclusão do arquivo ou pasta. Se você não tiver a permissão excluir em um arquivo ou pasta, pode ainda excluí-los se tiver concedida a permissão excluir subpastas e arquivos na pasta pai.
- Permissões de leitura: permite ou nega a leitura de permissões do arquivo ou pasta, como controle total, ler e gravar.
- Alterar permissões: permite ou nega a alteração de permissões do arquivo ou pasta, como controle total, ler e gravar.
- Apropriar-se: permite ou nega a apropriação do arquivo ou pasta. O proprietário de um arquivo ou pasta sempre pode alterar as permissões destes, independente de qualquer permissão existente que proteja o arquivo ou pasta.
Exemplo prático – Configurar as permissões especiais em uma pasta ou arquivo.
- Clique com o botão direito sobre uma pasta ou arquivo e selecione Propriedades.
- Escolha o grupo ou usuário desejado e clique em OK.
- Será exibida uma janela com todas as permissões especiais.
- Selecione Permitir ou Negar para as permissões desejadas e clique em OK.
Figura 5 – Permissões especiais
- Clique em OK mais duas vezes.
Existe um outro conceito importante quando trabalhamos com o sistema de arquivos NTFS. Esse recurso é o Take Ownership, ou Tornar-se dono. Esse recurso permite ao Administrador tornar-se dono de uma pasta ou arquivo, mesmo que não tenha permissão nessa pasta ou arquivo. É muito útil quando um usuário configurou a permissão em determinada pasta ou arquivo somente para ele mesmo, e esse usuário não trabalha mais na empresa. Como o usuário configurou as permissões de tal forma que somente ele possa acessar o arquivo ou pasta, ninguém conseguirá acessar esse arquivo ou pasta até que o Administrador tome as devidas providências, como por exemplo, executar o Take Ownership.
Exemplo prático – Tornar-se dono de uma pasta.
- Efetue logon com a conta de usuário Administrador.
- Localize a pasta ou arquivo que deseja tornar-se dono.
- Clique com o botão direito sobre a pasta ou arquivo e clique em Propriedades.
- Clique na aba Proprietário.
Figura 6 – Proprietário
- Selecione a conta ou o grupo que deverá tornar-se dono do arquivo ou pasta.
- Marque a caixa Substituir o proprietário em sub-recipientes e objetos e clique em OK duas vezes.
Conclusão
É isso pessoal, espero que este artigo seja útil para todos. Em caso de dúvidas sobre o conteúdo deste artigo, ou para enviar sugestões sobre novos tutoriais que você gostaria de ver publicado neste site, entre com contato através de e-mail: fabianodesantana@terra.com.br. ou contato@fabianosantana.com.br.
_____________________________________________________________________________
Fabiano de Santana, bacharelado em Análise de Sistemas, trabalha com TI a mais de 7 anos. Atualmente é membro do time de Windows Security da IBM Brasil. Realizou vários projetos, entre eles implementação do WSUS, migração de correio eletrônico, implementação do ISA Server 2004, implementação de Lotus Notes, implementação de políticas de segurança, entre outros. Possui as certificações MCP, MCSA / MCSE 2000 Security, MCSA 2003 Security, MCSE 2003, Itil Foundation e IBM Certified System Administrator – Lotus Notes and Domino 7.
Autor de ebooks e artigos em parceria com o Julio Battisti há mais de 2 anos, moderador do Fórum de Windows e Certificações do site www.juliobattisti.com.br. Autor de artigos para o Technet Brasil e iMasters. Atua também como professor e autor de cursos para o site iPED.
Visite o site do autor: www.juliobattisti.com.br/fabiano
Júlio Battisti tem mais de 50 livros publicados, centenas de e-books e é certificado Microsoft.
