Настройка прав пользователей

Более специфичный вопрос, который следует рассмотреть, заключается в том, какие права пользователей администратор должен назначить. Как Windows NT Server, так и Win­dows NT Workstation устанавливаются с предопределенными группами, в которые можно на­значать пользователей и давать им набор прав без необходимости вручную выбирать их. На­пример, Windows NT Server устанавливается с предопределенными локальными группами, описанными в таблице 2.1.

Таблица 2.1. Встроенные группы Windows NT

Группа Права

Administrators Полный контроль над компьютером и доменом

Account Operators Могут администрировать учетные записи

пользователей и групп в локальном домене

Backup Operators Могут осуществлять резервное копирование и

восстанавливать файлы, к которым они обычно

не имеют доступа

Guests Разрешенный гостям доступ к ресурсам домена

Print Operators Могут добавлять, удалять и управлять

принтерами домена

Server Operators Могут администрировать серверы домена

В дополнение к локальным группам существует несколько глобальных групп (групп, которые могут быть использованы более чем в одном домене): Domain Administrators, Do­main Users и Domain Guests. Эти группы, похожи на локальные группы со схожими именами, с некоторыми различиями от локальных в членстве в группах.

Использование предопределенных групп, подобных этим, облегчает присвоение прав новым учетным записям пользователей, но не ограничивается этими вариантами. Вместо этого можно присваивать дополнительные права на индивидуальной основе (например, если нужно, можно добавить право создавать принтеры в учетную запись Ивана Петрова, хоть оный Петров является членом группы Users и не должен как член группы иметь таких прав). Другим вариантом является помещение учетной записи пользователя более чем в одну груп­пу, например, Users и Print Operators. Следует помнить, что права являются совокупными: в случае, когда права конфликтуют (то есть одна группа имеет права делать что-нибудь, что запрещено другой), приоритет имеют наиболее запрещающие права (например, No Access).

В дополнение к группам, к которым можно добавлять пользователей, существует не­сколько других групп, к которым пользователи добавляются автоматически и которые нельзя удалить. Эти группы перечислены в таблице 2.2.

Таблица 2.2. Группы Windows NT, в которые пользователи добавляются автоматиче­ски и которые нельзя удалить

Группа Членство

Everyone Каждый, кто зарегистрирован в домене в данный

момент

Interactive Каждый, кто локально зарегистрирован в домене

Network Каждый, кто зарегистрирован в домене через сеть

Очень важно помнить о существовании этих групп. Предположим, что все члены группы Everyone имеют права доступа Full Control к некоторым объектам - они могут добав­лять, удалять и изменять их. Иногда это именно то, что надо, но группа Everyone включает всех, от сетевого администратора до студента, поступившего на прошлой неделе. Следует отдавать себе отчет в том, кто и какие права получает в сети.