windows中,权限指的是不同账户对文件,文件夹,注册表等的访问能力在windows中,为不同的账户设置权限很重要,可以防止重要文件被其他人所修改,使系统崩溃
我们可以在控制面板中设置账户时设置权限
作为微软第一个稳定且安全的操作系统，Windows XP经过几年的磨合过渡期，终于以超过Windows系列操作系统50%的用户占有量成为目前用户使用最多的操作系统。在慢慢熟悉了Windows XP后，人们逐渐开始不满足基本的系统应用了，他们更加渴望学习一些较深入且实用的知识，以便能让系统充分发挥出Windows XP 的高级性能。
因此本文以Windows XP Professional版本为平台，引领大家感受一下Windo ws XP在"权限"方面的设计魅力！
一、什么是权限
Windows XP提供了非常细致的权限控制项，能够精确定制用户对资源的访问控制能力，大多数的权限从其名称上就可以基本了解其所能实现的内容。
" 权限"(Permission)是针对资源而言的。也就是说，设置权限只能是以资源为对象，即"设置某个文件夹有哪些用户可以拥有相应的权限"，而不能是以用户为主，即"设置某个用户可以对哪些资源拥有权限"。这就意味着"权限"必须针对"资源"而言，脱离了资源去谈权限毫无意义──在提到权限的具体实施时，"某个资源"是必须存在的。
利用权限可以控制资源被访问的方式，如User组的成员对某个资源拥有"读取"操作权限、Administrators组成员拥有"读取+写入+删除"操作权限等。
值得一提的是，有一些Windows用户往往会将"权力"与"权限"两个非常相似的概念搞混淆，这里做一下简单解释："权力"(Right)主要是针对用户而言的。"权力"通常包含"登录权力" (Logon Right)和"特权"(Privilege)两种。登录权力决定了用户如何登录到计算机，如是否采用本地交互式登录、是否为网络登录等。特权则是一系列权力的总称，这些权力主要用于帮助用户对系统进行管理，如是否允许用户安装或加载驱动程序等。显然，权力与权限有本质上的区别。
二、安全标识符、访问控制列表、安全主体
说到Windows XP的权限，就不能不说说"安全标识符"(Security Identifier, SI D)、"访问控制列表"(Access Control List，ACL)和安全主体(Security Principal)这三个与其息息相关的设计了。
1.安全标识符
安全标识符在Windows XP中，系统是通过SID对用户进行识别的，而不是很多用户认为的"用户名称"。SID可以应用于系统内的所有用户、组、服务或计算机，因为SID是一个具有惟一性、绝对不会重复产生的数值，所以，在删除了一个账户(如
名为"A"的账户)后，再次创建这个"A"账户时，前一个A与后一个A账户的SID是不相同的。这种设计使得账户的权限得到了最基础的保护，盗用权限的情况也就彻底杜绝了。
查看用户、组、服务或计算机的SID值，可以使用"Whoami"工具来执行，该工具包含在Windows XP安装光盘的"Support\Tools"目录中，双击执行该目录下的"Se tup"文件后，将会有包括Whoami工具在内的一系列命令行工具拷贝到"X:\Program Files\Support Tools"目录中。此后在任意一个命令提示符窗口中都可以执行"Whoam i /all"命令来查看当前用户的全部信息。
2.访问控制列表(ACL)
访问控制列表是权限的核心技术。顾名思义，这是一个权限列表，用于定义特定用户对某个资源的访问权限，实际上这就是Windows XP对资源进行保护时所使用的一个标准。
在访问控制列表中，每一个用户或用户组都对应一组访问控制项(Access Contr ol Entry, ACE)，这一点只需在"组或用户名称"列表中选择不同的用户或组时，通过下方的权限列表设置项是不同的这一点就可以看出来。显然，所有用户或用户组的权限访问设置都将会在这里被存储下来，并允许随时被有权限进行修改的用户进行调整，如取消某个用户对某个资源的"写入"权限。
3.安全主体(Security Principal)
在Windows XP中，可以将用户、用户组、计算机或服务都看成是一个安全主体，每个安全主体都拥有相对应的账户名称和SID。根据系统架构的不同，账户的管理方式也有所不同──本地账户被本地的SAM管理；域的账户则会被活动目录进行管理......
一般来说，权限的指派过程实际上就是为某个资源指定安全主体(即用户、用户组等)可以拥有怎样的操作过程。因为用户组包括多个用户，所
以大多数情况下，为资源指派权限时建议使用用户组来完成，这样可以非常方便地完成统一管理。
三、权限的四项基本原则
在Windows XP中，针对权限的管理有四项基本原则，即：拒绝优于允许原则、权限最小化原则、累加原则和权限继承性原则。这四项基本原则
对于权限的设置来说，将会起到非常重要的作用，下面就来了解一下：
1.拒绝优于允许原则
" 拒绝优于允许"原则是一条非常重要且基础性的原则，它可以非常完美地处理好因用户在用户组的归属方面引起的权限"纠纷"，例如，"shyzhong"这个用户既属于" shyzhongs"用户组，也属于"xhxs"用户组，当我们对"xhxs"组中某个资源进行"写入"
权限的集中分配(即针对用户组进行) 时，这个时候该组中"shyzhong"账户将自动拥有"写入"的权限。
但令人奇怪的是，"shyzhong"账户明明拥有对这个资源的"写入"权限，为什么实际操作中却无法执行呢？原来，在"shyzhongs"组中同样也对"shyzhong"用户进行了针对这个资源的权限设置，但设置的权限是"拒绝写入"。基于"拒绝优于允许"的原则，"shyzhong"在"shyzhongs"组中被"拒绝写入"的权限将优先"xhxs"组中被赋予的允许"写入"权限被执行。因此，在实际操作中，"shyzhong"用户无法对这个资源进行"写入"操作。
2.权限最小化原则
Windows XP将"保持用户最小的权限"作为一个基本原则进行执行，这一点是非常有必要的。这条原则可以确保资源得到最大的安全保障。这条原则可以尽量让用户不能访问或不必要访问的资源得到有效的权限赋予限制。
基于这条原则，在实际的权限赋予操作中，我们就必须为资源明确赋予允许或拒绝操作的权限。例如系统中新建的受限用户"shyzhong"在默认状态下对"DOC"目录是没有任何权限的，现在需要为这个用户赋予对"DOC"目录有"读取"的权限，那么就必须在"DOC"目录的权限列表中为"shyzhong"用户添加"读取"权限。
3.权限继承性原则
权限继承性原则可以让资源的权限设置变得更加简单。假设现在有个"DOC"目录，在这个目录中有"DOC01"、"DOC02"、"DOC03"等子目录，现在需要对DOC目录及其下的子目录均设置"shyzhong"用户有"写入"权限。因为有继承性原则，所以只需对"DOC"目录设置"shyzhong"用户有"写入"权限，其下的所有子目录将自动继承这个权限的设置。
4.累加原则
这个原则比较好理解，假设现在"zhong"用户既属于"A"用户组，也属于"B"用户组，它在A用户组的权限是"读取"，在"B"用户组中的权限是"写入"，那么根据累加原则，"zhong"用户的实际权限将会是"读取+写入"两种。
显然，"拒绝优于允许"原则是用于解决权限设置上的冲突问题的；"权限最小化"原则是用于保障资源安全的；"权限继承性"原则是用于"自动化"执行权限设置的；而"累加原则"则是让权限的设置更加灵活多变。几个原则各有所用，缺少哪一项都会给权限的设置带来很多麻烦！
注意：
在Windows XP中，"Administrators"组的全部成员都拥有"取得所有者身份"(Ta ke Ownership)的权力，也就是管理员组的成员可以从其他用户手中"夺取"其身份的权力。例如受限用户"shyzhong"建立了一个DOC目录，并只赋予自己拥有读取权力，
这看似周到的权限设置，实际上，"Administrators"组的全部成员将可以通过"夺取所有权"等方法获得这个权限。
四、资源权限高级应用
以文件与文件夹的权限为例，依据是否被共享到网络上，其权限可以分为NTFS 权限与共享权限两种，这两种权限既可以单独使用，也可以相辅使用。两者之间既能够相互制约，也可以相互补充。下面来看看如何进行设置：
1.NTFS权限
首先我们要知道：只要是存在NTFS磁盘分区上的文件夹或文件，无论是否被共享，都具有此权限。此权限对于使用FAT16/FAT32文件系统的文件与文件夹无效！
NTFS权限有两大要素：一是标准访问权限；二是特别访问权限。前者将一些常用的系统权限选项比较笼统地组成6种"套餐型"的权限，即：完全控制、修改、读取和运行、列出文件夹目录、读取、写入。
在大多数的情况下，"标准权限"是可以满足管理需要的，但对于权限管理要求严格的环境，它往往就不能令管理员们满意了，如只想赋予某用户有建立文件夹的权限，却没有建立文件的权限；如只能删除当前目录中的文件，却不能删除当前目录中的子目录的权限等......这个时候，就可以让拥有所有权限选项的"特别权限"来大显身手了。也就是说，特别权限不再使用"套餐型"，而是使用可以允许用户进行"菜单型"的细节化权限管理选择了。
那么如何设置标准访问权限呢？以对一个在NTFS分区中的名为"zhiguo"的文件夹进行设置标准访问权限为例，可以按照如下方法进行操作：
因为NTFS权限需要在资源属性页面的"安全"选项卡设置界面中进行，而Windo ws XP在安装后默认状态下是没有激活"安全"选项卡设置功能的，
所以需要首先启用系统中的"安全"选项卡。方法是：依次点击"开始"→"设置"→"控制面板"，双击"文件夹选项"，在"查看"标签页设置界面上的"高级设置"选项列表中清除"使用简单文件共享(推荐)"选项前的复选框后点击"应用"按钮即可。
设置完毕后就可以右键点击"zhiguo" 文件夹，在弹出的快捷菜单中选择"共享与安全"，在"zhiguo属性"窗口中就可以看见"安全"选项卡的存在了。针对资源进行NT FS权限设置就是通过这个选项卡来实现的，此时应首先在"组或用户名称"列表中选择需要赋予权限的用户名组(这里选择"zhong"用户)，接着在下方的"zhong 的权限"列表中设置该用户可以拥有的权限即可。
下面简单解释一下六个权限选项的含义：
①完全控制(Full Control)：
该权限允许用户对文件夹、子文件夹、文件进行全权控制，如修改资源的权限、获取资源的所有者、删除资源的权限等，拥有完全控制权限就等于拥有了其他所有的权限；
②修改(Modify)：
该权限允许用户修改或删除资源，同时让用户拥有写入及读取和运行权限；
③读取和运行(Read & Execute)：
该权限允许用户拥有读取和列出资源目录的权限，另外也允许用户在资源中进行移动和遍历，这使得用户能够直接访问子文件夹与文件，即使用户没有权限访问这个路径；
④列出文件夹目录(List Folder Contents)：
该权限允许用户查看资源中的子文件夹与文件名称；
⑤读取(Read)：
该权限允许用户查看该文件夹中的文件以及子文件夹，也允许查看该文件夹的属性、所有者和拥有的权限等；
⑥写入(Write)：
该权限允许用户在该文件夹中创建新的文件和子文件夹，也可以改变文件夹的属性、查看文件夹的所有者和权限等。
如果在"组或用户名称"列表中没有所需的用户或组，那么就需要进行相应的添加操作了，方法如下：点击"添加"按钮后，在出现的"选择用户和组"对话框中，既可以直接在"输入对象名称来选择"文本区域中输入用户或组的名称(使用"计算机名\用户名"这种方式)，也可以点击"高级"按钮，在弹出的对话框中点击" 立即查找"按钮让系统列出当前系统中所有的用户组和用户名称列表。此时再双击选择所需用户或组将其加入即可。
如果想删除某个用户组或用户的话，只需在" 组或用户名称"列表中选中相应的用户或用户组后，点击下方的"删除"按钮即可。但实际上，这种删除并不能确保被删除的用户或用户组被拒绝访问某个资源，因此，如果希望拒绝某个用户或用户组访问某个资源，还要在"组或用户名称"列表中选择相应的用户名用户组后，为其选中下方的"拒绝"复选框即可。
那么如何设置特殊权限呢？假设现在需要对一个名为"zhiguo"的目录赋"zhong"用户对其具有"读取"、"建立文件和目录"的权限，基于安全考虑，又决定取消该账户的"删除"权限。此时，如果使用"标准权限"的话，将无法完成要求，而使用特别权限则可以很轻松地完成设置。方法如下：
首先，右键点击"zhiguo"目录，在右键快捷菜单中选择"共享与安全"项，随后在"安全"选项卡设置界面中选中"zhong"用户并点击下方的"高级"按钮，在弹出的对话框中点击清空"从父项继承那些可以应用到子对象的权限项目，包括那些在此明确定义的项目"项选中状态，这样可以断开当前权限设置与父级权限设置之前的继承关系。在随即弹出的" 安全"对话框中点击"复制"或"删除"按钮后(点击"复制"按钮可以首先复制继承的父级权限设置，然后再断开继承关系)，接着点击"应用"按钮确认设置，再选中"zhong"用户并点击"编辑"按钮，在弹出的"zhong的权限项目"对话框中请首先点击"全部清除"按钮，接着在"权限"列表中选择"遍历文件夹/运行文件"、"列出文件夹/读取数据"、"读取属性"、"创建文件/写入数据"、"创建文件夹/附加数据"、"读取权限"几项，最后点击"确定"按钮结束设置。
在经过上述设置后，"zhong"用户在对"zhiguo"进行删除操作时，就会弹出提示框警告操作不能成功的提示了。显然，相对于标准访问权限设置
上的笼统，特别访问权限则可以实现更具体、全面、精确的权限设置。
为了大家更好地理解特殊权限列表中的权限含义，以便做出更精确的权限设置，下面简单解释一下其含义：
⑴遍历文件夹/运行文件(Traverse Folder/Execute File)：
该权限允许用户在文件夹及其子文件夹之间移动(遍历)，即使这些文件夹本身没有访问权限。
注意：只有当在"组策略"中("计算机配置"→"Windows设置"→"安全设置"→"本地策略"→"用户权利指派")将"跳过遍历检查"项授予了特定的用户或用户组，该项权限才能起作用。默认状态下，包"Administrators"、"Users"、"Everyone"等在内的组都可以使用该权限。
对于文件来说，拥了这项权限后，用户可以执行该程序文件。但是，如果仅为文件夹设置了这项权限的话，并不会让用户对其中的文件带上"执行"的权限；
⑵列出文件/读取数据(List Folder/Read Data)：
该权限允许用户查看文件夹中的文件名称、子文件夹名称和查看文件中的数据；
⑶读取属性(Read Attributes)：
该权限允许用户查看文件或文件夹的属性(如系统、只读、隐藏等属性)；
⑷读取扩展属性(Read Extended Attributes)：
该权限允许查看文件或文件夹的扩展属性，这些扩展属性通常由程序所定义，并可以被程序修改；
⑸创建文件/写入属性(Create Files/Write Data)：
该权限允许用户在文件夹中创建新文件，也允许将数据写入现有文件并覆盖现有文件中的数据；
⑹创建文件夹/附加数据(Create Folder/Append Data)：
该权限允许用户在文件夹中创建新文件夹或允许用户在现有文件的末尾添加数据，但不能对文件现有的数据进行覆盖、修改，也不能删除数据；
⑺写入属性(Write Attributes)：
该权限允许用户改变文件或文件夹的属性；
⑻写入扩展属性(Write Extended Attributes)：
该权限允许用户对文件或文件夹的扩展属性进行修改；
⑼删除子文件夹及文件(Delete Subfolders and Files)：
该权限允许用户删除文件夹中的子文件夹或文件，即使在这些子文件夹和文件上没有设置删除权限；
⑽删除(Delete)：
该权限允许用户删除当前文件夹和文件，如果用户在该文件或文件夹上没有删除权限，但是在其父级的文件夹上有删除子文件及文件夹权限，那么就仍然可以删除它；
⑾读取权限(Read Permissions)：
该权限允许用户读取文件或文件夹的权限列表；
⑿更改权限(Change Permissions)：
该权限允许用户改变文件或文件夹上的现有权限；
⒀取得所有权(Take Ownership)：
该权限允许用户获取文件或文件夹的所有权，一旦获取了所有权，用户就可以对文件或文件夹进行全权控制。
这里需要单独说明一下"修改"权限与"写入"权限的区别：如果仅仅对一个文件拥有修改权限，那么，不仅可以对该文件数据进行写入和附加，而且还可以创建新文件或删除现有文件。而如果仅仅对一个文件拥有写入权限，那么既可以对文件数据进行写入和附加，也可以创建新文件，但是不能删除文件。也就是说，有写入权限不等于具有删除权限，但拥有修改权限，就等同于拥有删除和写入权限。
2.共享权限(Shared Permission)
只要是共享出来的文件夹就一定具有此权限。如该文件夹存在于NTFS分区中，那么它将同时具有NTFS权限与共享权限，如果这个资源同时拥有NTFS和共享两种权限，那么系统中对权限的具体实施将以两种权限中的"较严格的权限"为准──这也是"拒绝优于允许"原则的一种体现！
例如，某个共享资源的NTFS权限设置为完全控制，而共享权限设置为读取，那么远程用户就只能使用"读取"权限对共享资源进行访问了。
注意：如果是FAT16/FAT32文件系统中的共享文件夹，那么将只能受到共享权限的保护，这样一来就容易产生安全性漏洞。这是因为共享权限只能够限制从网络上访问资源的用户，并无法限制直接登录本机的人，即用户只要能够登录本机，就可以任意修改、删除FAT16/FAT32分区中的数据了。因此，从安全角度来看，我们是不推荐在Windows XP中使用FAT16/FAT32分区的。
设置共享权限很简单，在右键选中并点击一个文件夹后，在右键快捷菜单中选择"共享与安全"项，在弹出的属性对话框"共享"选项卡设置界面中点击选中"共享该文件夹"项即可，这将使共享资源使用默认的权限设置(即"Everyone"用户拥有读取权限)。如果想具体设置共享权限，那么请点击"权限"按钮，在打开的对话框中可以看到权限列表中有"完全控制"、"更改"和"读取"三项权限可供选择。
下面先简单介绍一下这三个权限的含义：
①完全控制：允许用户创建、读取、写入、重命名、删除当前文件夹中的文件以及子文件夹，另外，也可以修改该文件夹中的NTFS访问权限和夺取所有权；
②更改：允许用户读取、写入、重命名和删除当前文件夹中的文件和子文件夹，但不能创建新文件；
③读取：允许用户读取当前文件夹的文件和子文件夹，但是不能进行写入或删除操作。
说完了权限的含义，我们就可以点击"添加"按钮，将需要设置权限的用户或用户组添加进来了。在缺省情况下，当添加新的组或用户时，该组或用户将具备"读取"(R ead)权限，我们可以根据实际情况在下方的权限列表中进行复选框的选择与清空。
接着再来说说令很多读者感到奇怪的"组和用户名称"列表中的"Everyone"组的含义。在Windows 2000中，这个组因为包含了"Anonymous Logon"组，所以它表示"每个人"的意思。但在Windows XP中，请注意──这个组因为只包括"Authenticated Users"和"Guests"两个组，而不再包括"Anonymous Logon"组，所以它表示了"可访问计算机的所有用户"，而不再是"每个人"！请注意这是有区别的，"可访问计算机的所有用户"意味着必须是通过认证的用户，而"每个人"则不必考虑用户是否通过了认证。从安全方面来看，这一点是直接导致安全隐患是否存在关键所在！
当然，如果想在Windows XP中实现Windows 2000中那种"Everyone"设计机制，那么可以通过编辑"本地安全策略"来实现，方法是：在"运行"栏中输入"Secpol. msc"命令打开" 安全设置"管理单元，依次展开"安全设置"→"本地策略"，然后进入"安全选项"，双击右侧的"网络访问：让‘每个人'权限应用于匿名
用户"项，然后选择"已启用"项即可。
注意：
在Windows XP Professional中，最多可以同时有10个用户通过网络登录(指使用认证账户登录的用户，对于访问由IIS提供的Web服务的用户没有限制)方式使用某一台计算机提供的共享资源。
3.资源复制或移动时权限的变化与处理
在权限的应用中，不可避免地会遇到设置了权限后的资源需要复制或移动的情况，那么这个时候资源相应的权限会发生怎样的变化呢？下面来了解一下：
(1)复制资源时
在复制资源时，原资源的权限不会发生变化，而新生成的资源，将继承其目标位置父级资源的权限。
(2)移动资源时
在移动资源时，一般会遇到两种情况，一是如果资源的移动发生在同一驱动器内，那么对象保留本身原有的权限不变(包括资源本身权限及原先从父级资源中继承的权限)；二是如果资源的移动发生在不同的驱动器之间，那么不仅对象本身的权限会丢失，而且原先从父级资源中继承的权限也会被从目标位置的父级资源继承的权限所替代。实际上，移动操作就是首先进行资源的复制，然后从原有位置删除资源的操作。
(3)非NTFS分区
上述复制或移动资源时产生的权限变化只是针对NTFS分区上而言的，如果将资源复制或移动到非NTFS分区(如FAT16/FAT32分区)上，那么所有的权限均会自动全部丢失。
4.资源所有权的高级管理
有时我们会发现当前登录的用户无法对某个资源进行任何操作，这是什么原因呢？其实这种常见的现象很有可能是因为对某个资源进行的NTFS权限设置得不够完善导致的──这将会造成所有人(包括"Administrator"组成员)都无法访问资源，例如不小心将"zhiguo"这个文件夹的所有用户都删除了，这将会导致所有用户都无法访问这个文件夹，此时很多朋友就会束手无策了，其实通过使用更改所有权的方法就可以很轻松地解决这类权限问题了。
首先，我们需要检查一下资源的所有者是谁，如果想查看某个资源(如sony目录)的用户所有权的话，那么只需使用"dir sony /q"命令就可以了。在反馈信息的第一行就可以看到用户是谁了，例如第一行的信息是"lovebook\zhong"，那么意思就是love book这台计算机中的"zhong"用户。
如果想在图形界面中查看所有者是谁，那么需要进入资源的属性对话框，点击"安全"选项卡设置界面中的"高级"按钮，在弹出的"(用户名)高级安全设置"界面中点击"所有者"选项卡，从其中的"目前该项目的所有者"列表中就可以看到当前资源的所有者是谁了。
如果想将所有者更改用户，那么只需在"将所有者更改为"列表中选择目标用户名后，点击"确定"按钮即可。此外，也可以直接在"安全"选项卡设置界面中点击"添加"按钮添加一个用户并赋予相应的权限后，让这个用户来获得当前文件夹的所有权。
注意：
查看所有者究竟对资源拥有什么样的权限，可点击进入"有效权限"选项卡设置界面，从中点击"选择"按钮添加当前资源的所有者后，就可以从下方的列表中权限选项的勾取状态来获知了。
五、程序使用权限设定
Windows XP操作系统在文件管理方面功能设计上颇为多样、周全和智能化。这里通过"程序文件使用权限"设置、将"加密文件授权多个用户可以访问"和了解系统日志的访问权限三个例子给大家解释一下如何进行日常应用。
1.程序文件权限设定
要了解Windows XP中关于程序文件的访问权限，我们应首先来了解一下Wind ows XP在这方面的两个设计，
一、是组策略中软件限制策略的设计；
二、是临时分配程序文件使用权限的设计。
(1)软件限制策略
在"运行"栏中输入"Gpedit.msc"命令打开组策略窗口后，在"计算机配置"→" Windows设置"→"安全设置"分支中，右键选中"软件限制策略"分
支，在弹出的快捷菜单中选择新建一个策略后，就可以从"软件限制策略"分支下新出现的"安全级别"中看到有两种安全级别的存在了。
这两条安全级别对于程序文件与用户权限之前是有密切联系的：
①不允许的：从其解释中可以看出，无论用户的访问权如何，软件都不会运行；
②不受限的：这是默认的安全级别，其解释为"软件访问权由用户的访问权来决定"。显然，之所以在系统中可以设置各种权限，是因为有这个默认安全策略在背后默默支持的缘故。如果想把"不允许的"安全级别设置为默认状态，只需双击进入其属性界面后点击"设为默认值"按钮即可。
(2)临时分配程序文件
为什么要临时分配程序文件的管理权限呢？这是因为在Windows XP中，有许多很重要的程序都是要求用户具有一定的管理权限才能使用的，因此在使用权限不足以使用某些程序的账户时，为了能够使用程序，我们就需要为自己临时分配一个访问程序的管理权限了。为程序分配临时管理权限的方法很简单：右键点击要运行的程序图标，在弹出的快捷菜单中选择"运行方式"，在打开的"运行身份"对话框中选中"下列用户"选项，在"用户名"和"密码"右侧的文本框中指定用户及密码即可。
显然，这个临时切换程序文件管理权限的设计是十分有必要的，它可以很好地起到保护系统的目的。
2.授权多个用户访问加密文件
Windows XP在EFS上的改进之一就是可以允许多个用户访问加密文件，这些用户既可以是本地用户，也可以是域用户或受信任域的用户。由于无法将证书颁发给用户组，而只能颁发给用户，所以只能授权单个的账户访问加密文件，而用户组将不能被授权。
要授权加密文件可以被多个用户访问，可以按照如下方法进行操作：
选中已经加密的文件，用鼠标右键点击该加密文件，选择"属性"，在打开的属性对话框中"常规"选项卡下点击"高级"按钮，打开加密文件的高级属性对话框，点击其中的"详细信息"按钮(加密文件夹此按钮无效)，在打开的对话框中点击"添加"按钮添加一个或多个新用户即可(如果计算机加入了域，则还可以点击"寻找用户"按钮在整个域范围内寻找用户)。
如果要删除某个用户对加密文件的访问权限，那么只需选中此用户后点击"删除"按钮即可。
3.日志的访问权限
什么是日志？我们可以将日志理解为系统日记，这本"日记"可以按系统管理员预先的设定，自动将系统中发生的所有事件都一一记录在案，供管理员查询。既然日志信息具有如此重要的参考作用，那么就应该做好未经授权的用户修改或查看的权限控制。因此，我们非常有必要去了解一下日志的访问权限在Windows XP中是怎样设计的。一般来说，Administrators、SYSTEM、Everyone三种类型的账户可以访问日志。
这三种类型的账户对不同类型的日志拥有不同的访问权限，下面来看一下表格中具体的说明，请注意"√"表示拥有此权限；"×"表示无此权限。
通过对比，可以看出SYSTEM拥有的权限最高，可以对任意类型的日志进行读写和清除操作；Everyone用户则可以读取应用程序和系统日志，但对安全日志无法读取。这是因为安全日志相对其他几种类型的日志在安全性方面的要求要高一些，只有SYSTEM 能够对之写入。
如果想为其他用户赋予管理审核安全日志的权限，那么可以在"运行"栏中输入"G pedit.msc"命令打开组策略编辑器窗口后，依次进入"计算机配置"→"Windows设置"→"安全设置"→"本地策略"→"用户权利指派"，双击右侧的"管理审核和安全日志"项，在弹出的对话框中添加所需的用户即可。
六、内置安全主体与权限
在Windows XP中，有一群不为人知的用户，它们的作用是可以让我们指派权限到某种"状态"的用户(如"匿名用户"、"网络用户")等，而不是某个特定的用户或组(如"zhong"、"CPCW"这类用户)。这样一来，对用户权限的管理就更加容易精确控制了。这群用户在Windows XP中，统一称
为内置安全主体。下面让我们来了解一下：
1.安全主体的藏身之处
下面假设需要为一个名为"zhiguo"的目录设置内置安全主体中的"Network"类用
户权限为例，看看这群"默默无闻"的用户藏身在系统何处。
首先进入"zhiguo"目录属性界面的"安全"选项卡设置界面，点击其中的"添加"按钮，在弹出的"选择用户或组"对话框中点击"对象类型"按钮。
在弹出对话框中只保留列表中的"内置安全主体"项，并点击"确定"按钮。
在接下来的对话框中点击"高级"按钮，然后在展开的对话框中点击"立即查找"按钮，就可以看到内置安全主体中包含的用户列表了。
2.安全主体作用说明
虽然内置安全主体有很多，但正常能在权限设置中使用到的并不多，所以下面仅说明其中几个较重要的：
①Anonymous Logon：任何没有经过Windows XP验证程序(Authentication)，而以匿名方式登录域的用户均属于此组；
②Authenticated Users：与前项相反，所有经过Windows XP验证程序登录的用户均属于此组。设置权限和用户权力时，可考虑用此项代替
Everyone组；
③BATCH：这个组包含任何访问这台计算机的批处理程序(Batch Process)；
④DIALUP：任何通过拨号网络登录的用户；
⑤Everyone：指所有经验证登录的用户及来宾(Guest)；
⑥Network：任何通过网络登录的用户；
⑦Interactive：指任何直接登录本机的用户；
⑧Terminal server user：指任何通过终端服务登录的用户。
......
在明白了内置安全主体的作用后，在进行权限的具体指派时就可以让权限的应用精确程度更高、权限的应用效果更加高效。显然，Windows XP中设置此类账户是十分有必要的，毕竟计算机是以应用为主，以应用类型进行账户分类，必然会使权限的管理不再混乱，管理更加合理！
公司为了安全加入域后，发现有一些问题，就是有的用户需要重新启动一些服务但是提示没有权限，如何才能把指定的服务器的管理权限给普通域用户。还有像google输入法之类的升级的时候提示“不是管理员，无法升级”。不知道怎么解决？ 回答：根据您的描述，我对这个问题的理解是：普通的域用户的权限问题。 分析: ===== 您说到的这些情况,windows域就是设计为这样的. 默认的域用户在登录一台客户机的时候,域用户自动加入了客户机本地的“user”组,这个组只有一些基本的使用功能. 而您提到的重启服务,安装程序这样的操作,是需要本机管理员权限来进行. 而域管理员是自动加入到了本机的“administrator”组的. 建议: ==== 如果您的确需要让这些用户有这些控制权限,您可以给他们本机的“administrator”权限. 这里您可以有两种选择. 1. 告诉他们一个本机的管理员帐号,让他们在需要的时候切换用户来实现需要的功能. 2. 把域用户加入到本机的“administrator”组使得用户始终有本机的完全控制权限. a. 右键“我的电脑”, 选择“管理” b. 选择“本地用户和组” c. 选择“组”, d. 选择其中的“administrators”并双击 c. 然后把需要的域用户添加到这个组就可以实现普通的域访问权限和本机的管理员权限并存了. 另外,如果您需要某些用户对服务器的某些服务有管理权限,但是又不想赋予他们管理员权 限的话.可以通过修改组策略来实现. 我们假定这些server在一个名叫“server ou” 的OU中.您需要赋予权限的服务是“DNS sever” 1. 在“server ou”上添加一个组策略.给它定义一个名字. 2. 编辑这个组策略,展开“计算机配置\windows设置\安全设置\系统服务” 3. 从右面栏中找到“dns server” 服务,双击. 4. 选择“定义这个策略设置” 启动模式按照您本来的需求设置,然后点击“编辑安全设置” 5. 在弹出窗口中,选择添加. 6. 输入您需要的用户(组),然后在下面的权限栏中,赋予那个用户(组) “启动,停止和暂停”权限. 关于安装程序,您可以还可以把用户加入到本地的“power user”组,这个组的成员有权限装一部分的软件,但是涉及以下方面的程序无法安装: 1. 需要修改服务,驱动,系统文件的.(例如Google输入法) 2. 一些老程序会要求系统的控制权限. 3. 安装前先检查用户的组身份,不属于管理员直接拒绝.
在使用windows7过程中,常常会再出现没有管理员权限而不能正常运行软件(有的软件直接就是打不开,有的软件不能正常运行(比如如果没有管理员权限,keil就不能注册成功))....也许你会说,我的电脑里只有一个用户,这个用户应该就是管理员啊!不.如果你在安装windows7系统的时候,在那个输入用户信息的地方输入了一个用户名,那么你就新建了一个个人用户,但这个用户并不是管理员.真正的管理员是Administrator.有下面两种方法可以得到windows7的管理员权限. 方法一: 在桌面建一个文本文档(也就是.txt文件).双击打开.把下面的代码复制进去.再把这个文本文件改名为windows7管理员权限.reg(一般电脑已知后缀是隐藏起来的,也就是说你新建的文本文件名字是"新建文本文档"而不是"新建文本文档.txt"如果是这样,你就要先打开"计算机",左上角有个"组织",点开后有个"文件夹和搜索选项",然后"查看"然后下面有个"显示隐藏的文件,文件夹和驱动器"把这个选上再"确定一下"那个文本文件名字就是"新建文本文档.txt"了.再把它的名字改成windows7管理员权限.reg )如果改完后提示后缀改变,那就说明改对了.双击打开改好的文件,提示写入注册表,后你就有全部管理员权限了. 复制以下代码: Windows Registry Editor Version 5.00 [HKEY_CLASSES_ROOT\*\shell\runas] @="管理员取得所有权" "NoWorkingDirectory"="" [HKEY_CLASSES_ROOT\*\shell\runas\command] @="cmd.exe /c takeown /f \"%1\" && icacls \"%1\" /grant administrators:F" "IsolatedCommand"="cmd.exe /c takeown /f \"%1\" && icacls \"%1\" /grant administrators:F" [HKEY_CLASSES_ROOT\exefile\shell\runas2] @="管理员取得所有权" "NoWorkingDirectory"="" [HKEY_CLASSES_ROOT\exefile\shell\runas2\command] @="cmd.exe /c takeown /f \"%1\" && icacls \"%1\" /grant administrators:F" "IsolatedCommand"="cmd.exe /c takeown /f \"%1\" && icacls \"%1\" /grant administrators:F" [HKEY_CLASSES_ROOT\Directory\shell\runas] @="管理员取得所有权" "NoWorkingDirectory"="" [HKEY_CLASSES_ROOT\Directory\shell\runas\command] @="cmd.exe /c takeown /f \"%1\" /r /d y && icacls \"%1\" /grant administrators:F /t" "IsolatedCommand"="cmd.exe /c takeown /f \"%1\" /r /d y && icacls \
1 设计思路 为了设计一套具有较强可扩展性的用户认证管理，需要建立用户、角色和权限等数据库表，并且建立之间的关系，具体实现如下。 1.1 用户 用户仅仅是纯粹的用户，用来记录用户相关信息，如用户名、密码等，权限是被分离出去了的。用户（User）要拥有对某种资源的权限，必须通过角色（Role）去关联。 用户通常具有以下属性： 编号，在系统中唯一。 ü名称，在系统中唯一。 ü用户口令。 ü注释，描述用户或角色的信息。 1.2 角色 角色是使用权限的基本单位，拥有一定数量的权限，通过角色赋予用户权限，通常具有以下属性： ü编号，在系统中唯一。 ü名称，在系统中唯一。 ü注释，描述角色信息 1.3 权限 权限指用户根据角色获得对程序某些功能的操作，例如对文件的读、写、 修改和删除功能，通常具有以下属性： ü编号，在系统中唯一。 ü名称，在系统中唯一。 ü注释，描述权限信息 1.4 用户与角色的关系 一个用户（User）可以隶属于多个角色（Role），一个角色组也可拥有多个用户，用户角色就是用来描述他们之间隶属关系的对象。用户（User）通过角色（Role）关联所拥有对某种资源的权限，例如 l 用户（User）： UserID UserName UserPwd 1 张三 xxxxxx 2 李四 xxxxxx …… l 角色（Role）： RoleID RoleName RoleNote 01 系统管理员监控系统维护管理员 02 监控人员在线监控人员 03 调度人员调度工作人员 04 一般工作人员工作人员…… 从该关系表可以看出，用户所拥有的特定资源可以通过用户角色来关联。 1.5 权限与角色的关系 一个角色（Role）可以拥有多个权限（Permission），同样一个权限可分配给多个角色。例如： l 角色（Role）： RoleID RoleName RoleNote 01 系统管理员监控系统维护管理员 02 监控人员在线监控人员
学习资料：数据库用户管理 SQL Server的安全包括服务器安全和数据安全两部分。服务器安全是指可以SQL Server数据库服务器的登录管理、数据库数据的访问安全等，数据安全则包括数据的完整性、数据库文件的安全性。因此，如果你准备访问SQL Server数据库的数据，你应该具有SQL Server登录帐户和访问数据库的权限。 下面逐一讲解如何创建登录帐户、如何创建数据库用户和如何给用户授权。 一、SQL Server身份验证 在登录SQL Server时，需要选择身份验证的方式，SQL Server支持以下两种身份验证。 Windows身份验证。 SQL Server身份验证。 简单地说，Windows身份验证是使用当前登录到操作系统的用户去登录，而SQL Server身份验证是使用SQL Server中建立的用户去登录。 登录验证通过以后，就可以像管理本机SQL Server一样来管理远程机上的SQL Server 服务。 二、建立登录帐户并赋予权限 与创建数据库一样，建立SQL Server数据库的登录名、用户名，为其赋予权限也有两种方式。 1）使用SQL Server Management Studio建立登录账户并赋予权限 2）使用T-SQL建立登录账户并赋予权限 1．在SQL Server Management Studio中建立登录账户并赋予权限在SQL Server Management Studio中，通常需要进行三步操作。 1）建立SQL Server登录名 在SQL Server Management Studio中，建立登录的步骤如下。 （1）在“安全性”节点下，右击“登录名”，在右键菜单中选择“新建登录名”选项。
何在2003域中限制用户安装和卸载软件的权限，我应该怎么通过设置 策略实现？ 可以考虑“power users”组，改组是受限制的。尽管“power users”组的成员比“administrators”组的成员的系统访问权限要低，但“power users”组成员依然可以有较大权限来访问系统。如果您的组织中使用了“power users”组，则应仔细地控制该组的成员，并且不要实现用于“受限制的组”设置的指导。 “受限制的组”设置可在windows xp professonal 的“组策略对象编辑器”中的如下位置进行配置： 计算机配置\windows 设置\安全设置\受限制的组 通过将需要的组直接添加到gpo 命名空间的“受限制的组”节点上，管理员可以为gpo 配置受限制 的组。 如果某个组受限制，您可以定义该组的成员以及它所属的其他组。不指定这些组成员将使该组完全 受限。只有通过使用安全模板才能使组受限。 查看或修改“受限制的组”设置： .打开“安全模板管理控制台。 注意：默认情况下，“安全模板管理控制台”并没有添加到“管理工具”菜单。要添加它，请启动microsoft 管理控制台(mmc.exe) 并添加“安全模板”加载项 2.双击配置文件目录，然后双击配置文件。 3.双击“受限制的组”项。 4.右键单击“受限制的组” 5.选择“添加组” 6.单击“浏览”按钮，再单击“位置”按钮，选择需浏览的位置，然后单击“确定”。 注意：通常这会使列表的顶部显示一个本地计算机。 7.在“输入对象名称来选择”文本框中键入组名并按“检查名称”按钮。 单击“高级”按钮，然后单击“立即查找”按钮，列出所有可用组。 选择需要限制的组，然后单击“确定”。 单击“添加组”对话框上的“确定”来关闭此对话框。 对于所列出的组来说，将添加当前不是所列组成员的任何组或用户，而当前已是所列组成员的所有 用户或组将从安全模板中删除。 为完全限制“power users”组，此组的所有用户和组成员的设置都将删除。对于组织中不准备使用的内置组（例如“backup operators”组），建议您限制它。 如何使用组策略的进行软件分发和如何制作.msi文件?
1设计思路 为了设计一套具有较强可扩展性的用户认证管理，需要建立用户、角色和权限等数据库表，并且建立之间的关系，具体实现如下。 1.1用户 用户仅仅是纯粹的用户，用来记录用户相关信息，如用户名、密码等，权限是被分离出去了的。用户（User）要拥有对某种资源的权限，必须通过角色（Role）去关联。 用户通常具有以下属性： 编号，在系统中唯一。 ü名称，在系统中唯一。 ü用户口令。 ü注释，描述用户或角色的信息。 1.2角色 角色是使用权限的基本单位，拥有一定数量的权限，通过角色赋予用户权限，通常具有以下属性： ü编号，在系统中唯一。 ü名称，在系统中唯一。 ü注释，描述角色信息 1.3权限 权限指用户根据角色获得对程序某些功能的操作，例如对文件的读、写、 修改和删除功能，通常具有以下属性： ü编号，在系统中唯一。 ü名称，在系统中唯一。 ü注释，描述权限信息 1.4用户与角色的关系 一个用户（User）可以隶属于多个角色（Role），一个角色组也可拥有多个用户，用户角色就是用来描述他们之间隶属关系的对象。用户（User）通过角色（Role）关联所拥有对某种资源的权限，例如l用户（User）： UserID UserName UserPwd 1张三xxxxxx 2李四xxxxxx …… l角色（Role）： RoleID RoleName RoleNote 01系统管理员监控系统维护管理员 02监控人员在线监控人员 03调度人员调度工作人员 04一般工作人员工作人员…… 从该关系表可以看出，用户所拥有的特定资源可以通过用户角色来关联。 1.5权限与角色的关系 一个角色（Role）可以拥有多个权限（Permission），同样一个权限可分配给多个角色。例如：l角色（Role）： RoleID RoleName RoleNote 01系统管理员监控系统维护管理员 02监控人员在线监控人员
windows系统权限管理分析 1权限 windows中，权限指的是不同账户对文件，文件夹，注册表等的访问能力。 在Windows系统中，用户名和密码对系统安全的影响毫无疑问是最重要。通过一定方式获得计算机用户名，然后再通过一定的方法获取用户名的密码，已经成为许多黑客的重要攻击方式。即使现在许多防火墙软件不端涌现，功能也逐步加强，但是通过获取用户名和密码的攻击方式仍然时有发生。而通过加固Windows系统用户的权限，在一定程度上对安全有着很大的帮助。 Windows是一个支持多用户、多任务的操作系统，不同的用户在访问这台计算机时，将会有不同的权限。 "权限"(Permission）是针对资源而言的。也就是说，设置权限只能是以资源为对象，即"设置某个文件夹有哪些用户可以拥有相应的权限"，而不能是以用户为主。这就意味着"权限"必须针对"资源"而言，脱离了资源去谈权限毫无意义──在提到权限的具体实施时，"某个资源"是必须存在的。 利用权限可以控制资源被访问的方式，如User组的成员对某个资源拥有"读取"操作权限、Administrators组成员拥有"读取+写入+删除"操作权限等。 值得一提的是，有一些Windows用户往往会将"权利"与"权限"两个非常相似的概念搞混淆，这里做一下简单解释：“权利"(Right）主要是针对用户而言的。"权力"通常包含"登录权力" (Logon Right）和"特权"(Privilege）两种。登录权力决定了用户如何登录到计算机，如是否采用本地交互式登录、是否为网络登录等。特权则是一系列权力的总称，这些权力主要用于帮助用户对系统进行管理，如是否允许用户安装或加载驱动程序等。显然，权力与权限有本质上的区别。 2六大用户组 Windows是一个支持多用户、多任务的操作系统，不同的用户在访问这台计算机时，将会有不同的权限。同时，对用户权限的设置也是是基于用户和进程而言的，Windows 里，用户被分成许多组，组和组之间都有不同的权限，并且一个组的用户和用户之间也可以有不同的权限。以下就是常见的用户组。
数据库用户权限划分 一、数据库公共对象设定 公共对象是指在数据库中大家经常要用到的一些参数表、视图等实例。以及由某个开发的可以共用的一些函数、过程、程序集等功能模块。凡是可以连接该数据库中用户均具备此项权限。可在对象属性中设置此权限。 二、数据库用户权限设定 用户权限是指用户对于该数据库中的所有对象拥有的权限。用户不需要对特定对象设置即可拥有。可在数据库上设置此权限。 三、局部权限设定 局部权限是指用户只对数据库中的部分对象拥有权限。可在登录属性的用户映射中设置此权限。其中自定义角色（按需）是指自定义的一组数据库角色。 四、数据库角色权限设定 数据库角色是一种数据库对象。可根据数据库的对象应用情况设定选取的对象范围，然后设置相关权限。可在当前库“安全”—“角色”中设置此角色。 五、案例（保险库insurance权限划分） (一)公共表权限设置(创建位置：服务器—数据库—表) dbo.Par_Area_mp dbo.Par_BJ_8_area dbo.Par_Status dbo.Par_徐汇闵行路名 (二)添加数据库角色(创建位置：服务器—数据库—安全性—角色—数据库角色) i.保险查询 ii.保险更新 iii.全库查询 iv.全库更改 v.全库更新 vi.外部库查询
vii.外部库更新 (三)创建用户（创建位置：服务器—安全性—登录名），并设置数据库角色。
Test
(四)连接使用 i.只连接了有查看权限的表 ii.可以进行查询操作 iii.不可以创建表 iv.不可以删除表 v.不可以对表中数据进行删除 vi.不可以对表进行写入
大多数服务及其属性可通过使用SQL Server 配置管理器进行配置。以下是在C 盘安装Windows 的情况下最新的四个版本的路径。 安装的服务SQL Server 根据您决定安装的组件，SQL Server 安装程序将安装以下服务： ?SQL Server Database Services - 用于SQL Server 关系数据库引擎的服务。可执行文件为
?Reporting Services - 管理、执行、创建、计划和传递报表。可执行文件为
http: 域用户权限设置 公司为了安全加入域后，发现有一些问题，就是有的用户需要重新启动一些服务但是提示没有权限，如何才能把指定的服务器的管理权限给普通域用户。还有像google输入法之类的升级的时候提示“不是管理员，无法升级”。不知道怎么解决？ 回答： 根据您的描述，我对这个问题的理解是： 普通的域用户的权限问题。 分析: ===== 您说到的这些情况,windows域就是设计为这样的. 默认的域用户在登录一台客户机的时候,域用户自动加入了客户机本地的“user”组,这个组只有一些基本的使用功能.而您提到的重启服务,安装程序这样的操作,是需要本机管理员权限来进行. 而域管理员是自动加入到了本机的“administrator”组的. 建议: ==== 如果您的确需要让这些用户有这些控制权限,您可以给他们本机的“administrator”权限.这里您可以有两种选择. 1.告诉他们一个本机的管理员帐号,让他们在需要的时候切换用户来实现需要的功能. 2.把域用户加入到本机的“administrator”组使得用户始终有本机的完全控制权限.a.右键“我的电脑”,选择“管理”
b.选择“本地用户和组” c.选择“组”, d.选择其中的“administrators”并双击 c.然后把需要的域用户添加到这个组就可以实现普通的域访问权限和本机的管理员权限并存了. 另外,如果您需要某些用户对服务器的某些服务有管理权限,但是又不想赋予他们管理员权限的话.可以通过修改组策略来实现. 我们假定这些server在一个名叫“server ou”的OU中.您需要赋予权限的服务是“DNSsever” 1.在“server ou”上添加一个组策略.给它定义一个名字. 2.编辑这个组策略,展开“计算机配置\windows设置\安全设置\系统服务” 3.从右面栏中找到“dns server”服务,双击. 4.选择“定义这个策略设置”启动模式按照您本来的需求设置,然后点击“编辑安全设置” 5.在弹出窗口中,选择添加. 6.输入您需要的用户(组),然后在下面的权限栏中,赋予那个用户(组) “启动,停止和暂停”权限. 关于安装程序,您可以还可以把用户加入到本地的“power user”组,这个组的成员有权限装一部分的软件,但是涉及以下方面的程序无法安装: 1.需要修改服务,驱动,系统文件的.(例如Google输入法) 2.一些老程序会要求系统的控制权限. 3.安装前先检查用户的组身份,不属于管理员直接拒绝.
windows 7系统文件夹管理员权限的获取方法 windows 7系统不仅在界面上下了很多功夫，而且在安全方面也做了很多工作。但是这也给很多win7系统用户带来了麻烦----在win7下替换、修改或删除系统中某个文件夹往往都需要取得管理员权限，特别是系统盘（C盘）下的文件夹。这里教大家如何获得win7文件夹权限，并给大家提供一个修改win7注册表的reg，运行之后右键选择"获得权限"即可获得win7下整个文件夹的管理权限。 Win 7下管理员权限修改方法原理 我们以系统盘下的zh-CN文件夹为例 1、在zh-CN文件夹图标上面点击鼠标右键，再点击属性，如图1： 2、打开文件夹属性选项卡，按顺序单击：安全》高级》所有者》编辑，选中Administrators用户组（或者你的用户所在的组），同时勾选下面的"替换子容器及对象的所有者"。确定并关闭属性对话框即获取该文件的所有权。如图2：
3、再次单击鼠标右键打开属性对话框，依次单击：安全》高级，选中下面的两个勾，然后点击编辑，选中并双击Administrators（或者你的用户所在的组>; 单击"完全控制"，按确定依次退出即可，如图3：
4、OK，至此你已经拥有这个文件夹的管理权限，可以进行下一步的修改和替换了。 Win 7下管理员权限获得注册表reg修改方法 以下为引用的内容： Windows Registry Editor Version 5.00 [HKEY_CLASSES_ROOT*shellrunas] @="管理员取得所有权" "NoWorkingDirectory"="" [HKEY_CLASSES_ROOT*shellrunascommand] @="cmd.exe /c takeown /f "%1" & icacls "%1" /grant administrators:F" "IsolatedCommand"="cmd.exe /c takeown /f "%1" & icacls "%1" /grant administrators:F" [HKEY_CLASSES_ROOTexefileshellrunas2] @="管理员取得所有权" "NoWorkingDirectory"="" [HKEY_CLASSES_ROOTexefileshellrunas2command] @="cmd.exe /c takeown /f "%1" & icacls "%1" /grant administrators:F" "IsolatedCommand"="cmd.exe /c takeown /f "%1" & icacls "%1" /grant administrators:F" [HKEY_CLASSES_ROOTDirectoryshellrunas] @="管理员取得所有权" "NoWorkingDirectory"="" [HKEY_CLASSES_ROOTDirectoryshellrunascommand] @="cmd.exe /c takeown /f "%1" /r /d y & icacls "%1" /grant administrators:F /t"
（Database Department ） Tel: (86-10)51652500 Fax: (86-10)51388462 数据库用户权限划分 一、 数据库公共对象设定 公共对象是指在数据库中大家经常要用到的一些参数表、视图等实例。以及由某个开发的可以共用的一些函数、过程、程序集等功能模块。凡是可以连接该数据库中用户均具备此项权限。可在对象属性中设置此权限。 公共表 公共视图公共函数 公共过程 插入 查看定义√√ 更改更新 接管所有权控制删除选择√√引用√√ √执行 √ √ 对象 公共对象权限 二、 数据库用户权限设定 用户权限是指用户对于该数据库中的所有对象拥有的权限。用户不需要对特定对象设置即可拥有。可在数据库上设置此权限。
Tel: (86-21)51695700 Fax: (86-10)85895199 Website: https://www.doczj.com/doc/529930270.html, Zip:200030 库用户权限1DBA (参见角色）数据修改数据查询局部(参见角色）库用户权限2DBA (参见角色）数据修改数据查询 局部 (参见角色） 备份日志√更改任意对称密钥√备份数据库√更改任意非对称密钥√插入√√更改任意服务√查看定义√更改任意架构√查看数据库状态√更改任意角色 √创建XML 架构集合√更改任意路由 √创建表√√更改任意全文索引√创建程序集√更改任意数据空间 √创建队列 √更改任意数据库DDL 触发器√创建对称密钥√更改任意数据库事件通知√创建服务√更改任意消息类型√创建规则√√更改任意应用程序角色√创建过程√√更改任意用户√创建函数√√更改任意远程服务绑定√创建架构√更改任意约定√创建角色√更改任意证书√创建类型√更新√√创建路由√检查点√创建默认值√√接管所有权√创建全文目录√√控制√创建视图√√控制聚合 √创建数据库DDL 事件通知√连接 √√√√创建同义词√连接复制√创建消息类型√删除√√创建远程服务绑定√身份验证√创建约定√显示计划√创建证书√选择√√√订阅查询通知√引用√√更改√√执行√√更改任意程序集 √
《Windows系统管理》单科结业试题 考试说明：考试形式为选择题、实验题。其中选择题有一个或多个答案，全部选对才得分，错选、多选和少选均不得分，共15道题，每题3分，共计45分；实验题1道，计 55分。整张试卷满分100分，为闭卷考试，考试时间为90分钟。请将选择题的答案写在 答题纸上，实验题以电子形式提交实验报告。 一、选择题，单选或多选（共15题，每题3分，共45分） 1)以下对Windows 2008企业版硬件要求的描述中，错误的是（）。（选择1项） a)CPU速度最低1GHz（x86）和（x64），推荐大于2GHz b)内存最低512MB，推荐不少于2GB c)硬盘可用空间不少于4GB，推荐40GB以上 d)硬盘可用空间不少于10GB，推荐40GB以上 2)在Windows 2008中，添加或删除服务器“功能”（例如telnet）的工具是（）。（选 择1项） a)功能与程序 b)管理您的服务器 c)服务器管理器 d)添加或删除程序 3)在一台安装了Windows 2008操作系统的计算机上，如果想让用户具有创建共享文件 夹的权限，可以把该用户加入（）。（选择1项） a)Administrators b)Power Users c)Backup Operators d)Print Operators 4)在Windows Server 2008中，可以通过二种方式来共享文件：通过公用文件夹共享文 件和通过任何文件夹共享文件。对于通过公用文件夹共享文件的说法错误的是（）。 （选择1项） a)无法控制某个用户对于公用文件夹的访问权限 b)如果关闭共享，登录这台计算机的用户也不能访问公用文件夹 c)启用公用文件夹共享，则能访问网络的任何人都可以打开公用文件夹中文件 d)启用公用文件夹共享，默认Administrators组成员通过网络可以删除公用文 件夹中的文件 5)一台系统为Windows Server 2008的域控制器，（）能将其活动目录数据库备份到本 地磁盘E盘。（选择2项） a)通过Windows Server Backup备份系统状态到E盘 b)在命令行模式下输入命令：wbadmin start systemstatebackup –backuptarget: e: c)复制C:\Windows文件夹到E盘 d)利用NTbackup备份系统状态到E盘
sql server 用户访问权限设置: /*--示例说明 示例在数据库pubs中创建一个拥有表jobs的所有权限、拥有表titles 的SELECT权限的角色r_test 随后创建了一个登录l_test，然后在数据库pubs中为登录l_test创建了用户账户u_test 同时将用户账户u_test添加到角色r_test中，使其通过权限继承获取了与角色r_test一样的权限 最后使用DENY语句拒绝了用户账户u_test对表titles的SELECT权限。 经过这样的处理，使用l_test登录SQL Server实例后，它只具有表jobs 的所有权限。 --*/ USE pubs --创建角色 r_test EXEC sp_addrole 'r_test' --授予 r_test 对 jobs 表的所有权限 GRANT ALL ON jobs TO r_test --授予角色 r_test 对 titles 表的 SELECT 权限 GRANT SELECT ON titles TO r_test --添加登录 l_test,设置密码为pwd,默认数据库为pubs EXEC sp_addlogin 'l_test','pwd','pubs' --为登录 l_test 在数据库 pubs 中添加安全账户 u_test EXEC sp_grantdbaccess 'l_test','u_test' --添加 u_test 为角色 r_test 的成员 EXEC sp_addrolemember 'r_test','u_test' -------------------------------补充--------------
域用户权限设置 公司为了安全加入域后，发现有一些问题，就是有的用户需要重新启动一些服务但是提示没有权限，如何才能把指定的服务器的管理权限给普通域用户。还有像google输入法之类的升级的时候提示“不是管理员，无法升级”。不知道怎么解决？ 回答：根据您的描述，我对这个问题的理解是：普通的域用户的权限问题。 分析: ===== 您说到的这些情况，windows域就是设计为这样的。 默认的域用户在登录一台客户机的时候，域用户自动加入了客户机本地的“user”组，这个组只有一些基本的使用功能。而您提到的重启服务，安装程序这样的操作，是需要本机管理员权限来进行。 而域管理员是自动加入到了本机的“administrator”组的。 建议: ==== 如果您的确需要让这些用户有这些控制权限，您可以给他们本机的“administrator”权限。 这里您可以有两种选择。 1。告诉他们一个本机的管理员帐号，让他们在需要的时候切换用户来实现需要的功能。 2。把域用户加入到本机的“administrator”组使得用户始终有本机的完全控制权限。 a。右键“我的电脑”，选择“管理” b。选择“本地用户和组” c。选择“组”， d。选择其中的“administrators”并双击 c。然后把需要的域用户添加到这个组就可以实现普通的域访问权限和本机的管理员权限并存了。
另外，如果您需要某些用户对服务器的某些服务有管理权限，但是又不想赋予他们管理员权限的话。可以通过修改组策略来实现。 我们假定这些server在一个名叫“server ou”的OU中。您需要赋予权限的服务是“DNS sever” 1。在”server ou”上添加一个组策略。给它定义一个名字。 2。编辑这个组策略，展开“计算机配置\windows设置\安全设置\系统服务”3。从右面栏中找到“dns server”服务，双击。 4。选择“定义这个策略设置”启动模式按照您本来的需求设置，然后点击“编辑安全设置” 5。在弹出窗口中，选择添加。 6。输入您需要的用户(组)，然后在下面的权限栏中，赋予那个用户(组) “启动，停止和暂停”权限。 关于安装程序，您可以还可以把用户加入到本地的“power user”组，这个组的成员有权限装一部分的软件，但是涉及以下方面的程序无法安装: 1。需要修改服务，驱动，系统文件的。(例如Google输入法) 2。一些老程序会要求系统的控制权限。 3。安装前先检查用户的组身份，不属于管理员直接拒绝。 由于各种程序，特别是第三方程序的细节我们很难确定，而且有时候安装的问题不一定会立刻显示出来，我们还是建议您使用管理员权限去安装程序。
产品名称：ＢENET 3.0 科目：Windｏws系统管理 单科结业——问卷 1.有一台Ｗindｏws ｓerｖer2008服务器,管理员需要在服务器上创建一个共享文件夹,并且在其它计算机上无法通过“网络”浏览到该共享文件夹,可以使用（c )作为共享名。(选择一项） ａ） data b) Sdata c) daｔa$ d) data* 2.在安装Winｄows ｓｅｒvｅｒ 2０08的过程中显示器突然蓝屏,最可能是以下(d )原因导致的。选择一项) a）硬盘空间不足 ｂ) 版本差异 c) 用户权限不够 d）硬件兼容性 3．你是一台Wiｎdows Seｒvｅr2０08计算机的系统管理员，你正为—个NTFＳ分区上的文件夹aｐtech设置NTFＳ权限。用户帐号stevｅn同时属于salｅs组和supports组,saleｓ组对文件夹aptech有“读取和运行、列出文件夹目录、读取”权限，supporｔｓ组对文件夹apｔe ｃh的权限为对应权限的拒绝权限。则当用户“ｅven从本地访问文仵夹aptｅch时的权限是(d ）。（选择一项) a) 读取 ｂ) 读取和运行 c) 列出文件夹日录 d) 拒绝访问 d) 配置用户访问规则 4.公司网络采用Winｄows单域结构,域用户账户ｕｓerａ的登录时间属性如下图所示,以下说法正确的是（b )。 (选择二项)
a）作为域用户usera可以在任意时间登录域 ｂ) uｓera如果在星期日(ｓｕnday)登录域会被拒绝 c）useｒａ如果在星期六（Saturdaｙ)登录域会被拒绝 d) usera如果在星期四(Ｔhｕrsdａｙ）登录域会被允许 5．在Wｉｎdows seｖeｒ 20０8系统中，卸载活动目录的命令是(c )。（选择一项) a) dcpromote b) pｒomｏte c) ｄｃpｒｏmo ｄ) ｕndｃｐromo 6.有一台处于工作组中的Wiｎｄows server2008服务器，要配置该服务器上的本地用户帐户密码的长度不能小于8位,可以通过（d ）工具进行配置。 (选择一项) a）计算机管理 b）域安全策略 c）域控制器安全策略 d）本地安全策略 7.在Wiｎdｏwｓｓｅrvｅr 200８支持的动态磁盘卷中，以下(c )的磁盘读写性能最高。(选择一项) a）跨区卷 b) 简单卷 ｃ) 带区卷 d) 镜像卷 8.在ＷindowsＳerver 200８域中,在“销售部”OU上委派了普通域用户Iiqianｇ“重设用户密码并强制在下次登录时更改密码”的任务,关于此情况以下说法正确的是( ｄ)。(选择一项) a）用户lｉqiang具有了更改所有域用户帐户密码的权限
s q l s e r v e r2000如何创建用户 use你的库名 go--新增用户 exec sp_addlogin 'test'--添加登录 exec sp_grantdbaccess N'test'--使其成为当前数据库的合法用户 exec sp_addrolemember N'db_owner', N'test'--授予对自己数据库的所有权限 --这样创 建的用户就只能访问自己的数据库,及数据库中包含了guest用户的公共表 go--删除测试用户 exec sp_revokedbaccess N'test'--移除对数据库的访问权限 exec sp_droplogin N'test'--删除登录 如果在企业管理器中创建的话,就用: 企业管理器--安全性--右键登录--新建登录 常规项--名称中输入用户名--身份验证方式根据你的需要选择(如果是使用windows身份验证,则要先在操作系统的用户中新建用户)--默认设置中,选择你新建的用户要访问的数据库 名服务器角色项这个里面不要选择任何东西 数据库访问项勾选你创建的用户需要访问的数据库名 数据库角色中允许,勾选"public","db_ownew" 确定,这样建好的用户与上面语句建立的用户 一样--------------------------------------------------------------------------- 最后一步,为具体的用户设置具体的访问权限,这个可以参考下面的最简示例: --添加只允许访问指定表的用户: exec sp_addlogin '用户名','密码','默认数据库名' --添加到数据库exec sp_grantdbaccess '用户名' --分配整表权限GRANT SELECT , INSERT , UPDATE , DELETE ON table1 TO[用户名] --分配权限到具体的列GRANT SELECT , UPDATE ON table1(id,AA) TO[用户名] -------------------------------------------------------------------------------- --------------------- 建角色，用户，权限/*--示例说明示例在数据库pubs中创建一个拥有表jobs的所有权限、拥有表titles的SELECT权限的角色r_test 随后创建了一个登录l_test，然后在数据库pubs 中为登录l_test创建了用户账户u_test 同时将用户账户u_test添加到角色r_test中，使 其通过权限继承获取了与角色r_test一样的权限最后使用DENY语句拒绝了用户账户u_test 对表titles的SELECT权限。经过这样的处理，使用l_test登录SQL Server实例后，它只 具有表jobs的所有权限。 --*/USE pubs --创建角色 r_test EXEC sp_addrole 'r_test' --授予 r_test 对 jobs 表的所有权限GRANT ALL ON jobs TO r_test --授予角色 r_test 对 titles 表的 SELECT 权限GRANT SELECT ON titles TO r_test --添加登录 l_test,设置密码为pwd,默认数据库为pubs EXEC sp_addlogin 'l_test','pwd','pubs' --为登录 l_test 在数据库 pubs 中添加安全账户 u_test EXEC sp_grantdbaccess 'l_test','u_test'--添加 u_test 为角色 r_test 的成员EXEC sp_addrolemember 'r_test','u_test' --拒绝安全账户 u_test 对 titles 表的 SELECT 权限DENY SELECT ON titles TO u_test /*--完成上述步骤后,用 l_test 登录,可以对jobs表进行所有操作,但无法对titles表查询,虽然角色 r_test 有titles表的select权限,但已经在安全账户中明确拒绝了对titles 的select权限,所以l_test无titles表的select权限--*/ --从数据库 pubs 中删除安全账户EXEC sp_revokedbaccess 'u_test'
域用户本地权限设置文档 一、情况说明 本章节内容将会对域环境中的本地权限进行一些说明，并且会说明为什么域用户登陆本地机器后不能安装服务的原因，下一章节将会给出具体解决步骤，如急需解决问题的情况下可直接跳过本章节阅读下一章节内容。 在AD上建立域用户的时候，默认是隶属于Domain Uses用户组 我们登陆到加入域的客户端机器上，打开用户管理模块，我们可以发现，Domain Users组只隶属于本地的Users组，在本地的administrators组中没有Doamin Users组；然而安装windows服务必须是本地administrators组中的用户才可以安装。
从上图中可以看到，Domain Admins组默认就是在本地的administratos组中
的，这就解释了为什么通常情况下本地管理员和域管理员都能安装windows服务。 但是有些ghost安装的winXP会把本地administrators组中的Domain admins 删除，后果就导致了只有本地管理员能安装windows服务，域管理员不能安装windows服务。 为了能使加入域的客户端电脑能够安装windows服务，就需要获得本地的administrators组的权限，有如下几种方法 1、通过组策略强制把Domain Admins加入到每个客户端的本地 administrators组中，然后通过大通的权限获取机制安装大通windows服务。 2、通过组策略把Domain Users加入到每个客户端的本地administrators组 中，这样所有登陆的域用户都可以安装服务，全部安装完成后再通过组策略把Domain Users从每个客户端的本地administrators组中移除。 下一章节就是解决步骤。 二、解决步骤 方法1： 创建datong.vbs，内容如下： Set ws = WScript.CreateObject ( "WScript.Shell" ) compname = ws.ExpandEnvironmentStrings ( "%COMPUTERNAME%" ) Set adGrp = GetObject ( "WinNT://" & compname & "/Administrators,group" ) adGrp.Add ( "WinNT://Domain Admins,group" ) 在AD中右键点击“域（例如https://www.doczj.com/doc/529930270.html,）”——>属性——>组策略 “新建”——“组策略名称随便取”——“编辑”