Autorizzazioni articolate cartella complessa

[Caron]

Pensavo di saperci fare in questa faccenda (avendolo fatto per gli altri) ma ora che serve a me non ce ne vengo fuori.

Cartella A con all'interno N sottocartelle B, C, ...In ciascuna cartella B, C, ... c'è una marea di file, raggruppati in una miriade di cartelle/sottocartelle. Ovviamente, l'ordinamento e la classificazione è rigorosa e rigidamente osservata.

Tutta la cartella A pesa circa 1 TB e ha centinaia di sottocartelle e centinaia di migliaia di file. Il tutto è all'interno di un repository documentale che se ne sta su un NAS di 2,4 TB SSD.

A me serve che la cartella A (I livello) e le sottocartelle di II livello B, C,.. non si possano cancellare (ovviamente per gli utenti non admnistrator) né spostare né rinominare. Quando dico cartelle intendo proprio i contenitori. Invece, per tutto ciò che sta dentro le cartelle di II livello (sia cartelle che file) gli utenti possono fare quello che gli pare.

Prima di tutto ho sganciato l'ereditarietà del padre della cartella A (che è poi la root) in modo da partire da zero, aggiungendo i gruppi di utenti man mano e ho tolto la spunta in "Sostituisci tutte le autorizzazioni degli oggetti figlio con autorizzazioni ereditabili derivate da questo oggetto" nella A.

Ora: ho passato ore a provare tutte le combinazioni possibili tra consenti, nega, ereditarietà, sostituzione/propagazione, cartelle/sottocartelle e le varie tipologie di autorizzazioni ma non ne vengo a capo. Ottengo, di volta in volta, risultati parziali. A volte parto dalla cartella A inserendo dei nega, a volte faccio il contrario cioè dalle B, C,..., a volte cerco di applicare le regole adeguate ma diverse per i vari livelli. E poi devo aspettare decine di minuti prima che tutto sia applicato ai 960 GB perché ci sono le eccezioni...

Mi date un suggerimento su come operare? Ho veramente perso un mucchio di tempo per una cosa che pensavo di saper fare bene ma questo è un caso complicato.

Grazie

[xilo76]

Dalla tua cartella principale (in cui solo administrators, e/o l'utente che usi come amministratore, è il suo proprietario e ha il permesso di fare modifiche).
NOTA: I comandi seguenti vanno eseguiti dalla cartella che contiene le cartelle (e i file) cui vuoi cambiare proprietario e permessi.
Ovvero NON VANNO ESEGUITI DA C:, nemmeno da c:\windows, nemmeno da c:\windows\system32 (per essere chiari!).

icacls *.* /save PermessiCorrenti /T
icacls *.* /grant:r everyone:f /inheritance:r /t

Ovviamente ti consiglio di creare una struttura minima che mima la tua configurazione attuale per fare il test di quei due comandi, per evitare brutte sorprese.
Il primo comando salva i permessi correnti, il secondo li cambia, usando l'utente everyone (cioè chiunque).
Per le tue (spero poche) sottocartelle principali, cambierai i permessi "a mano".

Altrimenti, puoi usare quei due comandi dalle sottocartelle principali, mentre dalla cartella principale li puoi usare senza l'opzione /t.

[Caron]

Non sono sicuro di aver capito cosa fare operativamente (non sto parlando dei 2 comandi) ma proverò e poi ti dirò. Grazie.

[xilo76]

Operativamente:

• crea una directory/cartella
• modifica proprietario e permessi della cartella appena creata, usando il tuo utente amministratore
• accedi alla cartella appena creata
• crea altre due cartelle
• accedi a quelle due cartelle e crea altre due cartelle per ognuna
• riempi tutte le cartelle di file
• dalla prima cartella creata, lancia quei due comandi
  NOTA: I comandi seguenti vanno eseguiti dalla cartella che contiene le cartelle (e i file) cui vuoi cambiare proprietario e permessi.
  Ovvero NON VANNO ESEGUITI DA C:, nemmeno da c:\windows, nemmeno da c:\windows\system32 (per essere chiari!).
  

  icacls *.* /save PermessiCorrenti /T
  icacls *.* /grant:r everyone:f /inheritance:r /t

• esamina i permessi delle sei cartelle e di alcuni file
• modifica l'utente proprietario delle tre cartelle principali, assegnando i permessi al solo utente amministratore.
  Lo puoi fare manualmente o con questi comandi.
  NOTA: I comandi seguenti vanno eseguiti dalla cartella che contiene le cartelle (e i file) cui vuoi cambiare proprietario e permessi.
  Ovvero NON VANNO ESEGUITI DA C:, nemmeno da c:\windows, nemmeno da c:\windows\system32 (per essere chiari!).
  

  takeown /f * /a
  icacls *.* /grant:r administrators:f

Se tutto funziona come desiderato in questo piccolo test, usa quei comandi per la tua cartella reale.

[Caron]

No scusa, il mio era un commento a latere sulla combinazione di autorizzazioni da applicare per i 2 livelli di cui parlavo.
Ad ogni modo anche la tua procedura ora è più dettagliata.
Il fatto è che non mi spiego perché, avendolo già fatto altre volte con successo e senza troppa fatica, questa volta non riesco a ottenere contemporaneamente il risultato desiderato.
Ti faccio sapere.

[xilo76]

Per farlo contemporaneamente e in un colpo solo (usando un file batch, ovvero con estensione .bat):

cd /d x:\CartellaIndefinita\CartellaPrincipale
icacls *.* /save PermessiCorrenti /T
icacls *.* /grant:r everyone:f /inheritance:r /t
takeown /f * /a
icacls *.* /grant:r administrators:f

x:\CartellaIndefinita\CartellaPrincipale sarebbe il percorso della tua cartella complessa.
Però lo usi a tuo rischio e pericolo, specialmente se prima non fai un test.

[Caron]

Grazie ancora, le prove le farò la settimana prossima.
Fai bene ad avvertire, lo faccio anch'io. Comunque già i test li facevo su una struttura fittizia e comunque ovviamente ci sono 5 snapshot differenziali/giorno di quel reporitory su un altro NAS che sta in tutt'altro locale dell'azienda e di cui l'ultimo nel cuore della notte caricato anche sul cloud + 1 full tutte le domeniche...

E come ulteriore precauzione ho pensato anche che quando avrà trovato la combinazione giusta, replicherò la struttura vuota di I e II livello e copierò i contenuti nelle B, C, D.

Il rischio di perdita di contenuti è praticamente zero, semmai è riuscire nella combinazione!