Сохранить права на файлы, созданные другим пользователем

Немного упрощенная версия моей ситуации:

На компьютере с Windows (Server 2016) у меня есть папка (c:\myfolders\user1Folder), владельцем которой является User1.

User2 имеет полный доступ к этой папке и создает здесь файл (c:\myfolders\user1Folder\MyFile.txt). Теперь User2 владеет этим файлом, и User1 не может получить к нему доступ…

Как настроить так, чтобы, если User2 создаст файл в этой папке, User1 имел полный доступ?

Весь доступ к файлу определяется через его ACL (“Список управления доступом”), который вы можете увидеть на вкладке Безопасность в диалоговом окне Свойства файла. Любой пользователь или группа, которых вы добавите в ACL с, например, доступом Полный контроль, действительно будут иметь Полный контроль.

Право собственности почти не имеет значения, так как единственный реальный доступ, который оно предоставляет, это возможность сбросить список доступа, если он будет испорчен. Даже для владельца весь другой доступ (чтение, запись, удаление и т.д.) получается только при явном указании в ACL.

(Вы заметите, что некоторые папки имеют специальную запись “CREATOR OWNER” в своем списке доступа – всякий раз, когда создается новый файл и наследуется список доступа, эта запись расширяется до записи для фактического владельца нового файла, и так пользователи получают доступ к файлам, которые они владеют.)

Итак, если вы хотите предоставить доступ к вновь созданным файлам, откройте список доступа папки через ‘Свойства’ → ‘Безопасность’ → ‘Дополнительно’ и добавьте запись “наследуемую”, которая явно предоставит необходимый доступ User1. Используйте для этого представление Дополнительно и убедитесь, что запись помечена как “Применяется к: Эта папка, подпапки и файлы“. Возможно, что папка уже имеет запись для User1, но только не наследуемую; в этом случае добавьте новую запись всё равно.

C:\> icacls c:\myfolders\user1Folder /grant "User1:(OI)(CI)(F)"

(OI) = наследование объекта (файлы)
(CI) = наследование контейнера (подпапки)
(F) = флаги доступа "Полный контроль"

Если это не сработает, как должно, проверьте ACL вновь созданных файлов и узнайте, установлено ли у них наследование разрешений от родителя. Некоторые программы сознательно создают файлы с ограниченными, не наследуемыми ACL (например, ssh-keygen делает это при создании файлов приватного ключа; а Cygwin в частности, как правило, устанавливает не наследуемые разрешения в соответствии с стилем POSIX) и в этих случаях вы не можете переопределить это через ACL файла – по замыслу – кроме как путём изменения программы или использования icacls /reset, чтобы снова включить наследование.

Если это работает, подумайте, нужен ли вам “Полный контроль” (F), или достаточно будет просто “Изменить” (M). (Полный контроль также дает User1 возможность изменять ACL как если бы он был владельцем, или даже фактически забрать право собственности на себя, в основном 99% совместного владения. Но иногда может возникнуть необходимость, чтобы другие редакторы не могли вмешиваться в ACL, в этом случае достаточно Изменить.)

Кроме того, подумайте, не будет ли лучше добавить группу в список доступа вместо этого. Группы должны быть созданы администратором, но это упрощает синхронизацию списков доступа нескольких отдельных папок, когда нужно добавить или удалить человека.