创建安全性增强的重定向文件夹 - Windows Server

本文介绍如何动态创建安全性增强的重定向文件夹或主文件夹。

原始 KB 数： 274443

总结

在Microsoft Windows Server Active Directory 中，管理员可以使用文件夹重定向自定义桌面，也可以分配基于服务器的主文件夹。 此外，还可以使用 Active Directory 和组策略重定向以下文件夹：

• 应用程序数据
• 桌面
• 我的文档
• 我的文档/我的图片
• “开始”菜单

可以通过搜索 Windows 文件夹重定向帮助找到有关文件夹重定向的详细信息。

将文件夹重定向到网络上的共享位置时，需要对此位置具有读取和写入访问权限，以便可以读取这些文件夹的内容。 但是，在某些情况下，你可能不希望向其他用户授予读取访问权限。

创建安全性增强的重定向文件夹

若要确保只有用户和域管理员有权打开特定的重定向文件夹，请执行以下步骤：

1. 在环境中选择要存储文件夹重定向的中心位置，然后共享此文件夹。 在此示例中，使用 FLDREDIR 和 HOMEDIR。

2. 将 “每个人”组的共享权限 设置为 “完全控制”。

3. 对 NTFS 权限使用以下设置：

   • CREATOR OWNER - 完全控制（仅适用于子文件夹和文件）
   • 系统 - 完全控制（应用于：此文件夹、子文件夹和文件）
   • 域管理员 - 完全控制（应用于：此文件夹、子文件夹和文件）
   • 每个人 - 创建文件夹/追加数据（仅适用于：此文件夹）
   • 每个人 - 列出文件夹/读取数据（应用于：仅此文件夹）
   • 每个人 - 读取属性（仅适用于：此文件夹）
   • 每个人 - 遍历文件夹/执行文件（仅适用于：此文件夹）

4. 配置 Windows 帮助中所述的文件夹重定向策略。 使用类似于 \\server\FLDREDIR\%username% 在共享文件夹 FLDREDIR 下创建文件夹的路径。

   还可以通过复制具有主文件夹的模板用户（例如 \\server\HOMEDIR\%username%）或创建具有该名称的用户和文件夹，以类似的方式配置主文件夹“HOMEDIR”。

   注意

   对于主文件夹，这种情况并不常见，因为在为用户添加主文件夹时，Active Directory 用户和计算机将创建该文件夹。 但是，如果使用自定义预配，Active Directory 用户和计算机不会创建该文件夹。 因此，你必须自己做。

为什么这些权限有助于提高共享文件夹的安全性

由于“每个人”组具有“创建文件夹/追加数据”权限，组成员具有创建文件夹的适当权限;但是，成员以后无法读取数据。 用户名组是创建文件夹时登录的用户的名称。 由于该文件夹是父文件夹的子文件夹，因此它将继承分配给 FLDREDIR 的权限。 此外，由于用户正在创建文件夹，因此用户由于 创建者所有者权限 设置而获得对文件夹的完全控制。

详细信息

本文最初是为 Windows Server 2003 编写的，CreatorOwner 的访问控制项（ACE）可能转换为：<文件夹用户> - 完全控制（应用于：此文件夹、子文件夹和文件）

但是没有证据表明这已经发生了。 本文的早期版本未提及访问控制列表（ACL）的结果，并且不再支持本文编写的操作系统版本。

到 2017 年 5 月底，所有受支持的操作系统都已将 ACE 转换为：<Folder-User> - 完全控制（仅适用于：此对象）

但这不会影响用户文件夹的日常操作。 当管理员必须处理主文件夹或重定向文件夹的内容时，这会产生差异。

如果要确保用户获取所有子对象的可继承完全控制，则必须：

1. 自行为用户 samaccountname 创建文件夹匹配。

2. 设置文件夹所需的权限，省略上述每个人 ACE，并确保你拥有 ACE：

   <文件夹用户> - 完全控制（应用于：此文件夹、子文件夹和文件）

参考

有关详细信息，请参阅 文件夹重定向概述。