NTFS Move / Copyの設計上の問題を回避する方法は？

ファイルサーバーのアクセス許可を扱った人なら誰でも知っているように、NTFSには、移動/コピーの問題として知られる興味深い設計機能/欠陥があります。

このMS KBの記事で説明されているように、フォルダーが移動され、ソースと宛先が同じNTFSボリューム上にある場合、フォルダーまたはファイルのアクセス許可は親から自動的に継承されません。フォルダーがコピーされた場合、またはソースと宛先が異なるボリュームにある場合、許可は継承されます。

以下に簡単な例を示します。

「技術者」と「マネージャー」と呼ばれる同じNTFSボリュームに2つの共有フォルダーがあります。技術者グループには技術者フォルダーへのRWアクセス権があり、管理者グループには「マネージャー」フォルダーへのRWアクセス権があります。両方にアクセスできるユーザーがいて、サブフォルダーを「マネージャー」フォルダーから「技術者」フォルダーに移動しても、移動されたフォルダーには「マネージャー」グループのユーザーのみがアクセスできます。「技術者」グループは、「技術者」フォルダの下にあり、上部から権限を継承する必要があるにもかかわらず、サブフォルダにアクセスできません。

想像できるように、これにより、これらのエンドユーザーの問題を解決するためのサポートコール、チケット、無駄なサイクルが発生します。もちろん、ユーザーが異なるセキュリティで保護されたフォルダー/エリア間でフォルダーを頻繁に移動する場合、最終的にアクセス権のネズミの巣ができます同じボリューム。

質問は次のとおりです。

このNTFS設計の欠陥を回避する最良の方法は何ですか？また、環境でどのように処理しますか？

リンクされたナレッジベースの記事では、Windows Explorerのデフォルトの動作を変更するためのレジストリキーについて説明していますが、それらはクライアント側であり、ユーザーが権限を変更する必要があることを必要としますファイルサーバーのアクセス許可（およびシステム管理者としての健全性）を制御したい。

私のアプローチは、ファイル/ディレクトリレベルのファイルアクセス許可を使用しないことです。ファイル共有レベルのアクセス許可を使用し、サーバーファイルシステムのデータドライブ全体をEveryoneフルコントロール（これは無意味になります）に設定します。

長年（10以上）にわたって、NTFSアクセス許可はより複雑であり、より多くのエラーにつながることがわかりました。権限が正しく設定されていない場合、または継承が壊れている場合、データを公開し、そのデータを見つけて確認することは困難です。さらに、あなたが言うように移動/コピーの問題にさらされます。

ディレクトリ/ファイルレベルのACLを使用する必要がある場所。健康を定期的にチェックする以外に解決策はありません。

まあそれは本当に欠陥ではありません。ファイルを移動するときにアクセス許可を処理するためのこのルールは、NT3.1の少なくともベータ2以降に導入されました（ただし、Windows 2000でのみ追加されたため、明らかに継承ではありません）。これは、Windowsのあらゆる機能と同じくらいよく知られています。私はあなたの見解に多くの同情を持っています。なぜなら、これによって一度も焼かれていない人はほとんどいないからです。しかし、それはシステム管理者がすぐに学ぶものです。

JR

NT 3.51からNTFSを使用していますが、この「問題」は（ほとんどの人がそうであるように）見てきましたが、それほど問題は発生していません。

• ある共有ディレクトリから別の共有ディレクトリにファイルを移動する必要がある場合は、常にファイルをコピーするように指示します。「ドラッグするときにCTRLキーを押したままにして、小さな+が表示されていることを確認してください」はよくあるフレーズです。
• 共有フォルダーの構造は非常に単純であり、作成する共有フォルダーはグループ間をあまり頻繁に行き来しないため、最初からファイルをコピーする可能性が高くなります。
• 問題は主に「共通」スペースで見られます-誰でも読み書きできるフォルダですが、これらのディレクトリはほとんど寿命が短いため、パージされると問題はなくなります。

私が考えることができる回避策：

• 異なるアクセス許可を持つフォルダーを異なるNTFSボリュームに作成する方法を見つける
• フォルダを介して実行され、すべてのアクセス許可をトップレベルのアクセス許可と同じにリセットするスケジュールされたタスクを作成します（サポートリクエストの頻度に応じて1時間に1回または1日1回）。これは理想的とは言えませんが、フォルダーに多くのファイルが含まれている場合はさらに多くなりますが、サーバー側のレジストリ修正などの適切な解決策がない場合は問題を解決し続けるでしょう。確認するコマンドは「cacls」と呼ばれ、バッチファイルに追加できます。

免責事項-私はUnixのバックグラウンドから来ました（そして、異なるパーミッションの欠陥を修正するために最後の1つを実装しました-気分が悪いと感じますが、仕事はします）。

管理者として移動するときは、xcopy / s / e / c / h / r / k / yを使用します。ファイルの所有権とACL以外はすべて、ACLの継承が自動的に開始されることを意味します。しかしものを移動しました。

グループポリシー/セキュリティポリシー/ファイルシステムを使用して、複雑な権限を追跡します。（ポリシーで「アクセス許可の置き換え」を使用しないでください）。

CACLSをスケジュールして、夜間にすべての許可をリセットし、その後にgpupdate / forceを実行して、ポリシーから許可を再適用します。魔法のように機能します。

Windows 7（またはWindows Vistaの場合もある）以降、フォルダーまたはファイルのアクセス許可は、フォルダーが移動され、ソースと宛先が同じNTFSボリューム上にある場合-ファイルまたはフォルダーがエクスプローラー経由でコピーされる場合、親から継承します。以前のOSでは、Farマネージャーを使用できます。これにより、宛先から（他の多くの機能とともに）アクセス許可の継承を有効にすることができます。Farは一般ユーザーにとってはフレンドリーではないかもしれませんが。

非常に簡単な回避策は、ファイルを圧縮して宛先ディレクトリに展開することです。