Windows 10. Perdi acesso aos meus arquivos como administrador

Obviamente, eu não esperava ter o acesso negado sendo um Administrador e vendo que os Administradores têm controle total como uma permissão separada daquela que acabei de editar

As permissões de arquivo no Windows funcionam assim:

1. Todas Denyas entradas têm prioridade.
2. Então, todas Allowas entradas são consideradas.
3. Finalmente, se o usuário não estiver na lista, o acesso também será negado.

Então, em geral, o que você deveria ter feito é remover as Allowentradas de acesso em vez de adicionar Denyentradas – não as use se puder evitá-las.

Como exceção, o proprietário sempre pode definir novas permissões – e um Administrador sempre pode se tornar o proprietário (assumir a propriedade) – portanto, a recuperação disso quase sempre começa com a definição de você mesmo ou do grupo Administradores como o novo proprietário. Isso permite definir uma nova lista de acesso que lhe concede controle total – e então você repete o processo com todas as subpastas.

Às vezes, o Windows Explorer se oferece para fazer isso assim que você tenta abrir a pasta (ou quando tenta ver as permissões de algo), mas é mais comum que isso seja feito usando o takeownprograma.

takeown /a /r /d y /f D:\

Ele /d ytambém solicita que ele redefina automaticamente as permissões, para que possa recuperar o conteúdo de todo o disco recursivamente.

Configurando as restrições

Assim que tiver seu acesso de volta, edite a lista de acesso D:\ novamente, de preferência através da Advancedvisualização (ou através de CLI elevado se preferir, embora uma das etapas seja tediosa de ser feita via CLI).

• Se você estiver restringindo um subdiretório, desative “Herdar permissões” e escolha ‘Copiar’. Não é necessário para todo o disco, pois não há nada para herdar.

  icacls D:\Foo /inheritance:d
  

• Remova "Usuários", "Usuários autenticados", "Todos" e entradas semelhantes, se ainda estiverem lá - mantendo apenas Administratorse SYSTEM(e sua própria conta, para UAC). Qualquer outra pessoa que não esteja na lista não terá acesso automaticamente, portanto não há necessidade de listá-la explicitamente.

  icacls D:\ /remove "Authenticated Users"
  icacls D:\ /remove "Everyone"
  

  Nota: Devido ao Windows UAC, a Administratorsconcessão só terá efeito quando você executar programas "elevados" (ou seja, 'Executar como Administrador'). Portanto, se você clicar em 'Aplicar' neste momento e não estiver pessoalmente na lista de acesso, perderá o acesso por meio do Explorer (que nunca é executado de forma elevada) - mas isso não é um problema, pois você pode simplesmente adicionar-se por meio do PowerShell elevado. ou Total Commander ou qualquer outro gerenciador de arquivos.

• Conceda a si mesmo acesso de controle total (takeown provavelmente já terá feito isso, mas faça-o mesmo assim, apenas por precaução).

  icacls D:\ /grant "Bradley:(OI)(CI)(F)"
  

  O (OI)e (CI)marca a entrada como herdável (ou seja, equivalente a "Aplica-se a: Esta pasta, subpastas e arquivos").

• Conceda acesso de leitura/lista a "Usuários autenticados" novamente, mas marque-o como não herdável - ou seja, "Aplica-se apenas a: esta pasta" - para que eles ainda possam listar as pastas de nível superior, mas não descer para elas.

  icacls D:\ /grant "Authenticated Users:(R)"
  

  A ausência (OI)(CI)significa que a entrada de acesso não será herdada. Esta etapa é tecnicamente opcional (os usuários ainda podem acessar os itens se souberem o caminho, por exemplo, se você criar um atalho .lnk para eles), mas tornará as coisas mais convenientes.

• Por precaução, marque a caixa "Substituir todas as permissões de objeto filho" ao salvar as alterações (isso só precisa ser feito uma vez), para que tudo dentro seja forçado a herdar das permissões que você acabou de definir na raiz do disco.

  (the * is important, you want to only reset children)
  icacls D:\* /reset /t
  
  (approximate equivalent)
  gci D:\ | % { icacls "$_.fullname" /reset /t }
  

• Por fim, em cada uma das pastas específicas que o usuário precisa acessar, basta adicioná-las à lista de acesso daquela pasta. Isto pode ser feito através da visualização normal da aba ‘Segurança’.

  icacls D:\Videos /grant "Users:(OI)(CI)(R,W)"
  

Caso você queira permitir o acesso a uma pasta inteira, mas proibir uma subpasta específica, muitas vezes ainda é melhor evitar entradas 'Negar' e, em vez disso, desabilitar a herança de permissão nessa pasta, o que permitiria remover as entradas indesejadas dela especificamente.

Nota lateral: há muito pouca diferença entre Authenticated Userse Everyone(todas as versões do Windows desde o XP excluem Anonymous de Todos). Também há pouca diferença entre eles e o Usersgrupo normal se as contas de convidados não forem usadas.