基于NTFS的数据有效访问权限计算模型

廖常武(南京工业职业技术学院，南京 210016)

基于NTFS的数据有效访问权限计算模型

廖常武
(南京工业职业技术学院，南京 210016)

应用Windows的NTFS文件系统提供的文件、文件夹的安全权限功能，提出了通过本地访问Windows文件系统的本地访问有效权限，以及通过网络访问共享文件夹的网络访问有效权限，并给出了本地访问有效权限和网络访问有效权限的计算模型，实现了本地用户数据和共享数据的安全性管理。利用NTFS权限提高了存储在计算机中数据的安全。

NTFS文件系统； NTFS权限； 共享权限； 有效权限

0 引言

Windows Server的默认文件系统是NTFS[1](New Technology File System)。NTFS文件系统具有较好的稳定性和安全性，具有用户权限、文件系统配额、数据压缩、数据加密等功能。在NTFS中，文件以簇的形式分配，最小的单位为扇区，n个扇区为一簇。NTFS的数据可分为 4 个部分[2]：(1)引导扇区(Partition boot sector，BPB)，所有磁盘格式都共有，占用一个扇区，但具体的内容各不相同；(2)主文件列表(Master File Table，MFT)，是卷上所有文件的列表，每个文件对应一个记录项；(3)系统文件(System files)，NTFS 系统一共有16个系统文件，和8个保留文件；(4)数据区(File area)，留给用户的空间。

1 NTFS权限类型

Windows只有NTFS类型的文件系统可以设置文件和文件夹的安全权限，所以安全权限又称为NTFS权限，NTFS通过对文件、文件夹、网络共享、打印机、进程、服务等安全对象设置ACL实现安全性。

1.1 NTFS标准权限

对每一个文件对象，NTFS标准文件权限有5种[3]。(1)读取：可以查看该文件；(2)写入：可以更改或覆盖文件的内容、属性，查看文件的所有者和权限；(3)读取及运行：具有“读取”的所有权限，还具有运行应用程序的权限；(4)修改：拥有读取、写入、读取及运行的所有权限，还可以修改和删除文件；(5)完全控制：有上述(1)-(4)的所有权限，还具有更改权限和取得所有权的权限。

对每一个文件夹对象，NTFS标准文件夹权限有6种。(1)读取，可以查看该文件夹中的文件和子文件夹；(2)写入：在文件内可以添加文件和子文件夹，并对文件夹的属性进行修改；(3)列出文件夹目录：具有读取的所有权限，而且还具有遍历子文件夹的权限；(4)读取及运行：具有读取、列出文件夹目录的所有权限；(5)修改：具有写入、读取及运行的所有权限，具有删除文件夹权限；(6)完全控制：具有NTFS文件夹的所有权限。

每种标准权限都有未授权或空、允许、拒绝3 种状态。允许和空状态之间可以相互转化，分别对应授权和撤消权利，拒绝和空状态相互转化，分别对应着明令禁止和解除禁令，允许和拒绝状态之间不能直接转化。

1.2 NTFS特殊权限

NTFS特殊文件权限有14个：(1)完全控制；(2)执行文件；(3)读取数据；(4)读取属性；(5)读取扩展属性；(6)写入数据；(7)添加数据；(8)写入属性；(9)写入扩展属性；(10)删除子文件夹和文件；(11)删除；(12)读取权限；(13)更改权限；(14)获得所有权。

NTFS特殊文件夹权限有14个：(1)完全控制；(2)遍历文件夹；(3)列出文件夹；(4)读取属性；(5)读取扩展属性；(6)创建文件；(7)创建文件夹；(8)写入属性；(9)写入扩展属性；(10)删除子文件夹和文件；(11)删除；(12)读取权限；(13)更改权限；(14)获得所有权。

2 NTFS有效权限

NTFS文件系统的每个文件、文件夹均可以设置各自不同的权限，在设置NTFS权限时，必需注意权限的继承性、累加性、优先性。

2.1 本地访问有效权限

(1) 权限的继承性

在一个文件夹中创建新的文件或文件夹，新创建的文件或文件夹会自动继承父文件夹或驱动器的NTFS权限，称为权限的继承性。例如，如果用户User1对文件夹ABC具有“读取”权限，则User1对ABC文件夹的子文件夹同样具有“读取”权限，要打断这种继承关系，就必须重新设置权限。

移动、复制文件或文件夹，其权限的继承性规则如下。

文件或文件夹权限不变的情况。在相同NTFS分区内移动文件或文件夹，其权限保持不变，继承未移动前的权限。

文件或文件夹权限改变的情况。在不同NTFS分区之间移动文件或文件夹，在同一个NTFS分区、不同NTFS分区之间复制文件、文件夹，文件、文件夹的权限会继承目的文件夹的权限。

从 NTFS 分区复制或移动文件、文件夹到 FAT 格式分区时，因为 FAT 分区没有权限的功能，所以移动或复制到FAT分区的文件或文件夹不能设置权限。

(2) 权限的优先级

文件权限优先于文件夹权限。例如，文件夹ABC中有文件A.doc，用户User1对文件夹ABC是读取权限，对A.doc具有修改权限，User1仍然对A.doc可以修改。

拒绝权优先于其他权限。拒绝权限是指某个用户帐户或用户组对某个特定文件的访问权限。拒绝权限可以覆盖所有其他的权限，即优先于所有的允许权限。如果一个组的成员有权访问文件或文件夹，但是该组被拒绝访问，则该用户也不能访问该文件或文件夹。例如，User1对ABC文件夹有读取权限，User1所属的组Group1对文件夹ABC有拒绝读取的权限，则用户User1就不能读取ABC文件夹。

(3) 本地访问有效权限模型

将权限与角色联系起来可实现基于角色的访问控制[4]。用户User1属于组Group1、Group2……Groupn， Group1、Group2……Groupn对文件夹ABC的权限分别为r1、r2……rn，User1对文件夹ABC的权限R计算：

2.2 网络访问有效权限

文件服务器的建立是以数据共享为目的[5]，应用Windows Server 2008实现文件服务器，必须设置共享文件夹的共享权限。共享权限是以控制文件夹及其子文件夹进行共享的[6]。FAT16/32和NTFS分区格式，都具有文件夹共享的功能。共享文件夹只对从网络访问才有效，本机访问无效。共享权限优先于NTFS安全权限。Windows系统中，文件没有共享权限，只有文件夹才有共享权限。

文件夹的共享权限有读取、更改、完全控制3种。读取权限：查看文件名与子文件夹名称，查看文件内的数据，执行程序。更改权限：(1)具有读取权限的所有能力；(2)新增加以下功能：新建与删除文件、文件夹，更改文件内的数据。完全控制权限具有的能力：(1)具有读取+更改权限的所有能力；(2)新增加功能：更改权限(只适用于NTFS内的文件或文件夹)。

为了使数据安全性有保证，需要对共享文件夹设置共享权限和NTFS权限两个权限。只有设置共享权限后，用户才能通过网络从另一台计算机访问到共享文件夹。

当用户从网络访问另一台计算机的共享文件夹时，系统第一步校验共享权限，检查该用户是否有允许访问共享文件夹的共享权限，如果允许访问第二步再校验安全权限。因此当一个文件夹同时设置了共享权限和NTFS权限后，从网络访问该文件夹的权限则是共享权限和NTFS权限的交集，如图1所示。

图1 网络访问有效权限

设计算机PC1的文件夹的共享权限R1={x1,x2,x3}，NTFS权限R2={y1,y2……yn}，则计算机PC2通过网络访问PC1的网络访问有效权限R3为R1和R2的交集，即网络访问有效权限模型是：R3=R1∩R2。

3 权限设置应用

3.1 NTFS权限应用

下面通过具体应用案例分析NTFS权限设置问题。

某企业的服务器，除管理员外还有3个用户需要在服务器上存储数据，设这3个用户User1、User2、User3将数据分别存储在服务器的A1、A2、A 3文件夹中，要求每个用户只能访问自己相应文件夹，不能访问其他文件夹的数据。即，User1只能进入A1文件夹，不能进入A2、A3文件夹。通过这种方式，确保用户的数据不能被其他用户访问，保证数据的安全性。以User1用户使用A1文件夹为例说明。

只有Administrators组内的成员、文件/文件夹的所有者、具有完全控制权限的用户，才有权限来分配这个文件/文件夹的NTFS权限。

(1) 以管理员Administrator登录，创建User1、User2、User3帐户，User1、User2、User3帐户默认属于Users组，创建A1、A2、A3文件夹。

(2) Users组对A1的权限是“读取和执行”、“列出文件夹目录”、“读取”，因此，User1、User2、User3对A1均有访问权限，这不符合要求，因而必须将Users组从权限的用户列表中删除。但Users组的权限是文件夹从它的父文件夹磁盘分区根目录继承而来的，对于这些继承而来的权限无法直接改动，因而要删除组，首先必须要断开权限继承关系。

(3) 在A1文件夹属性的“安全”选项卡中，点击“高级”按钮，在打开的“高级安全设置”中点击“编辑”按钮，然后去掉“包括可从该对象的父项继承的权限”的勾选。在随后出现的警告对话框中选择“复制”，保留原先的用户列表，现在可以将Users组从用户列表中删除。根据案例要求，只有User1可以使用A1文件夹，User1对A1文件夹有完全控制权限，根据权限继承规则，这个权限将自动传递到A1文件夹中和各个子文件夹和文件,如图2所示。

图2 User1对A1的权限

(5) 以User1帐户在计算机本地登录，可以进入A1文件夹做任何操作。以User2在计算机本地登录，则不能进入A1文件夹，如图3所示。

图3 拒绝User2访问A1

3.2 共享权限应用

只有Administrators、Server Operators、Power Users等组的成员才能设置共享文件夹。以Administrator登录Server 2008，设置A1共享文件夹。点击A1属性的“共享”选项卡→“高级共享”→“权限”，系统默认Everyone组有读取权限。

设置Server 2008和WIN7计算机的IP地址分别为192.168.1.10和192.168.1.11。在WIN7的“网络”中点击Server 2008计算机图标，弹出用户认证，输入用户名User2和相应密码。进入Server 2008计算机，并且能显示A1文件夹，这是因为在设置A1的共享权限是Everyone组有读取权限，而且User2属于Everyone组，所以User2能够访问WIN 2008计算机，如图4所示。

图4 访问2008计算机

点击A1文件夹，弹出拒绝对话框，如图5所示。

图5 拒绝访问A1文件夹

这是因为A1文件夹的NTFS权限对User2用户是拒绝访问的，所以，此时User2并不能进入A1文件夹。

4 总结

应用Windows NTFS文件系统的安全权限功能，实现了在服务器中用户只能将数据存储在指定目录，并不允许其他用户访问，保证了数据在服务器中的安全性。通过网络访问其他计算机的共享文件，对访问用户进行相应的权限设置，保证了提供共享计算机的数据安全。

[1] 陈培德,吴建平,王丽清. B-树NTFS索引目录管理中的应用研究[J].计算机技术与发展,2016,26(9):30-33.

[2] 栾咏红. NTFS与EXT2文件系统互访探究[J].计算机时代,2010,(12):34-36.

[3] 戴祖旭. Windows NTFS文件(夹)权限计算模型[J].计算机工程与设计,2009,30(12):2902-2904.

[4] 徐国栋,朱亮. Windows下文件过滤驱动技术[J]. 微型电脑应用,2016,32(8):74-76.

[5] 戴有炜. Windows Server 2012 R2系统配置指南[M].北京：清华大学出版社，2017.

[6] 李志东. Win Server 2003文件服务器权限与审核研究[J].计算机应用,2011,(2):59-61.

AnEffectiveDataAccessPermissionComputingModelBasedonNTFS

Liao Changwu
(Nanjing Institute of Industry Technology, Nanjing 210016)

Using security permissions function for files and folders provided by Windows NTFS file system, this paper proposes the effective permission for local access to the Windows file system, as well as the effective permission for network access to the shared folders. In addition, it also gives the effective permission computing model for local access and network access to achieve security management of the local user data and shared data. Furthermore, NTFS permission is used to improve the security of data stored in the computer.

NTFS file system; NTFS permission; Shared permission; Effective permission

江苏省现代教育技术研究课题(2016-R-49522)

廖常武(1964-)，男，副教授，硕士，研究方向：计算机网络技术.

1007-757X(2017)11-0024-03

TP393

A

2017.08.05)