问题[permissions](server)

我无法让 DoveCot 在多个域和用户中的一个域上运行。其他所有工作都完美。当尝试连接到该用户的邮箱时，我收到服务器错误“发生内部错误”。并在系统邮件日志中发现以下消息：

4 月 14 日 08:57:30 服务器 dovecot[902917]：imap(@<domain.com>)<908694>：错误：chdir(/home/<unix_user>/imap/<domain.com>//) 失败：权限被拒绝（euid = 1004（somename）egid = 12（邮件）缺少+ x perm：/ home / <unix_user>，我们不在组1001（访问）中，目录由1007：1001模式= 0710拥有）

我使用 DirectAdmin 创建了 Unix 用户、域和邮箱。

我已经尝试过 $ sh /usr/local/directadmin/scripts/set_permissions.sh all （以 root 身份运行）但无济于事。我将所有邮件相关文件（/home/<unix_user>/imap/... 和 /etc/virtual/...）的所有权限与一切正常的另一个用户进行了比较。那里没有发现任何差异。

我使用的是 Almalinux 8.9 和 DirectAdmin 1.661。

有什么建议我应该如何找到这个原因？

Dovecot 的 ACL 插件指令表明，对于全局 acl，我们应该创建一个 acl 文件/etc/dovecot/.并在其中包含访问控制列表项。所以我创建/etc/dovecot/global-acls并包含了...

inbox.Archive owner lrwstipeka
inbox.Drafts owner lrwstipeka
inbox.Sent owner lrwstipeka
inbox.Junk owner lrwstipeka
inbox.Trash owner lrwstipeka

...这应该可以防止用户删除这些系统文件夹。

然后从插件加载该文件/etc/dovecot/conf.d/90-acl.conf...

protocol imap {
  mail_plugins = $mail_plugins acl imap_acl
}

plugin {
  acl = vfile:/etc/dovecot/global-acls:cache_secs=300
}

plugin {
  acl_shared_dict = file:/path/to/mailbox/root/shared-mailboxes
}

我遇到的问题是我的系统日志中出现以下错误，表明该文件存在权限问题（或者可能是stat()，我不确定）。

Error: acl vfile: stat(/etc/dovecot/global-acls) failed: Permission denied
Fatal: acl: backend vfile init failed with data: /etc/dovecot/global-acls:cache_secs=300

drw-rw----.   3 vmail dovecot  4096 Jan 26 13:37 .
drwxr-xr-x. 126 root  root    12288 Jan 26 16:52 ..
drw-rw----.   2 vmail dovecot  4096 Jan 25 15:46 conf.d
-rw-rw----.   1 vmail dovecot   535 Jan 26 20:17 dovecot.conf
-rw-rw----.   1 vmail dovecot   257 Jan 26 13:35 global-acls

如您所见，权限设置与/etc/dovecot. 我已经搜索了几个小时的相关错误，但我不知所措。

有什么建议么？

我正在使用两个 2016 DC 运行 Windows Active Directory 域。有关域和我的 GPO 策略的所有内容都运行正常。但是，当我打开组策略管理，然后在 OU 中选择链接的 GPO，然后选择“委派”选项卡时，我会看到“访问被拒绝”模式对话框。如果我在“组策略对象”容器中选择一个 GPO，我会立即看到“访问被拒绝”模式对话框。

我属于哪个组（管理员、域管理员、企业管理员）似乎并不重要，而且我已经检查了 SYSVOL 中的策略权限，对我来说似乎没有任何问题。到目前为止，这只是一个麻烦，但我想知道原因是什么以及如何解决它。

我还注意到其他一些细节：

1. 策略详细信息的范围选项卡上的 WMI 筛选部分丢失。
2. 策略详细信息的“范围”选项卡的“安全过滤”部分中没有列出任何用户。

我登录到成员服务器或域控制器，然后 gpmc 正常运行（没有委派访问被拒绝消息，显示 WMI 过滤，安全过滤已填充其用户）

我通过注册表项启用了组策略管理日志记录，并将好系统和坏系统的日志输出进行了比较。很明显，我的工作站被拒绝访问，但没有明确的原因说明为什么会出现这种情况。

坏的：

[127c.2f4] 11/07/2023 09:32:33:087  [VERBOSE] CEffectivePermissionsTable::Load(): Loading from cn={xxxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxxxx},cn=policies,cn=system,DC=myname,DC=mydomain,DC=com.
[127c.2f4] 11/07/2023 09:32:33:106  [WARNING] CSecurityUtility::GetDSSecurityDescriptorDacl(): GetNamedSecurityInfo for LDAP://MyDC1.myname.mydomain.com/cn={xxxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxxxx},cn=policies,cn=system,DC=myname,DC=mydomain,DC=com failed with 0x80070005.
[127c.2f4] 11/07/2023 09:32:33:106  [WARNING] CGPOPermissionsTable::GetSecurityDescriptors(): GetDSSecurityDescriptorDacl failed with 0x80070005.
[127c.2f4] 11/07/2023 09:32:33:106  [WARNING] CEffectivePermissionsTable::Load(): GetSecurityDescriptors failed with 0x80070005.
[127c.2f4] 11/07/2023 09:32:33:106  [WARNING] CGPMSecurityInfo::Load(): Load failed with 0x80070005.
[127c.2f4] 11/07/2023 09:32:33:107  [VERBOSE] CGPMGPO::GetSecurityInfo(): Loading for GPO cn={xxxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxxxx},cn=policies,cn=system,DC=myname,DC=mydomain,DC=com
[127c.2f4] 11/07/2023 09:32:33:107  [WARNING] CGPMGPO::GetSecurityInfo(): Load failed with 0x80070005.

好的：

[192c.528] 11/07/2023 03:57:42:427  [VERBOSE] CEffectivePermissionsTable::Load(): Loading from cn={xxxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxxxx},cn=policies,cn=system,DC=myname,DC=mydomain,DC=com.
[192c.528] 11/07/2023 03:57:42:443  [VERBOSE] CEffectivePermissionsTable::GetOrAddEntry: Entry already found for S-1-5-11
[192c.528] 11/07/2023 03:57:42:443  [VERBOSE] CGPMSecurityInfo::Load(): Dumping permissions table.
[192c.528] 11/07/2023 03:57:42:443  [VERBOSE] ==========BEGIN EFFECTIVE PERMISSIONS LIST DUMP==========
...dumps ACLS.....

在看到日志中的访问被拒绝消息时，我在工作站上使用 ldp.exe 作为我的用户绑定，它也能够毫无问题地查询和检索 ACL。

此外，我的工作站中的 Get-GPPermission 也会返回访问被拒绝的信息，但在成员服务器或 DC 上则不会。

我在实验室的服务器上安装了 NFS，该服务器导出两个磁盘，/disk1 和 /disk2，我可以使用以下命令成功查看导出的驱动器：

showmount -e 192.168.1.245

我还可以安装驱动器：

mount 192.168.1.245:/disk1 /disk1

这为我在本地计算机（也是 NetBSD 9.3）/disk1 上提供了一个已安装的驱动器

但是，我无法添加、删除或修改文件，我得到：

touch: notes.txt: Permission denied

用于挂载点的本地文件夹由用户 user（非 root）拥有，服务器上 /disk1 和 /disk2 的挂载点也由名为 user（非 root）的用户拥有，相同的组和 uid， 1000和100。

这是我的 /etc/exports 文件：

/data1 -alldirs -mapall=1000:100 -network 192.168.1.245 -mask 255.255.255.0
/data2 -alldirs -mapall=1000:100 -network 192.168.1.245 -mask 255.255.255.0

我已经尝试以 root 身份安装，无论是在本地还是在服务器上，我也尝试了与用户相同的操作，似乎没有任何帮助，非常感谢任何帮助！

更新 我不知道是什么修复了它，但现在一切正常，我尝试卸载驱动器并再次安装，重新启动服务器等。一切仍然有效，相同的 /etc/exports 文件，没有更改，相同的用户和权限。

我正在管理一个 RedHat 服务器，用户使用基于私钥/公钥的身份验证通过 SSH 登录。

我想防止他们意外更改/删除/chmoding 〜/.ssh文件夹的内容。他们中的一些人已经递归地 777-chmod 了他们自己的整个主文件夹，因为“这样更容易与同事共享文件”，这就是搬起石头砸自己的脚。

知道我该如何实现这一目标吗？最好有标准的Linux权限系统。

我在 Debian 12（书虫）之上使用 proxmox。

作为 root 用户，我将目录“/data”的所有者设置为 berdux:berdux，甚至将权限设置为 777。

然后，我使用 mergefs 将 4 个磁盘挂载到此文件夹（用户 berdux 再次拥有对这些 ZFS 挂载的完全访问和权限）。

mergerfs -o cache.files=partial,dropcacheonclose=true,category.create=mfs /D2TBa/2TBa:/D2TBb/2TBb:/D4TBa/4TBa:/D4TBb/4TBb /data 

然后我更改为用户 berdux (su berdux)，并且失去了对所述文件夹的访问权限。

我从根目录使用 ls -l 看到的内容：

drwxrwxrwx 3 berdux berdux 3 Sep 14 10:56 data

然后使用用户 berdux 的 ls -l ：

d????????? ? ? ? ? ? data

我尝试使用 sudo 从用户 berdux 运行 mergefs 命令，并尝试将其放在 fstab 上（并且我已重新启动几次），但没有任何变化。

我还想与 samba 共享此文件夹，但当用户无权访问它时这是不可能的。

执行所有用户“个人”文件到 OneDrive 的迁移，我对这一切都很陌生。

我的小型组织正在迁移到 SharePoint 和 OneDrive，我们的用户未在 On Premise AD 和 AzureAD/365 之间同步。

非常简单，使用 SharePoint 迁移工具，使用具有 FS 共享读取权限的管理员帐户和具有目标访问权限的 Microsoft 帐户，并使用源和目标设置 CSV。

问题， 文件夹重定向 GPO 具有以下设置：

• 授予用户专有权。此设置默认启用，是推荐设置。此设置指定管理员和其他用户无权访问此文件夹。

没有管理员权限，对目标文件。SharePoint 迁移工具需要对源的读权限和对迁移目标的读/写权限。

所以我们有类似于：

\fileserver\users\user1\Documents \fileserver\users\user2\Documents

管理员完全控制在 \user1\ 之后结束，超出此范围的任何内容都需要取得所有权 ...

现在我最初的想法是递归地获取所有权，迁移到 OneDrive 并完成它，我的“老板”观点是应该有一种用户登录方式。

运行完全空白...

主要是为我没有预料到的问题寻找想法、替代方案或警告。

如果不能这样做，就不能这样做......

在文件服务器上，基本文件夹包含用户的文件夹：

此基本文件夹受到保护，不受用户操作（删除、重命名、文件转储等）的影响，用户只能读取和遍历它：

为了保护每个用户的根文件夹，我明确拒绝他们删除自己的文件夹的权利：

这意味着deny在每个文件夹上添加一个。
在基本文件夹上执行此操作不起作用：deny对组Users到delete子文件夹，因为This foler only--> 他们仍然可以删除自己的文件夹，因为继承权限（拒绝删除）的优先级低于显式权限（允许修改）。

使用我的方法，用户仍然可以隐藏自己的根文件夹。这不是问题，但它表明该文件夹没有 100% 防止操作。

1. 我使用“规范”方法吗？
2. 如何防止用户隐藏自己的文件夹？或者任何其他烦人的事情
3. 有什么建议么？

我希望特定用户递归更改特定目录的所有内容的所有者和组，并且仅更改该目录。目录是一种“收件箱”，服务在其中写入文件和子目录。

目前，我有一个管理员sudo chown，但我希望目标所有者自己做，而不需要该用户拥有更多权限。假设原所有者是“headsman”，最终所有者应该是“audience”。两个用户都不在同一个组中。

sudo chown -R audience:watchers /usr/files/pathofdir 不太对，因为我不希望观众有无限的权限使用 chown。我的第一个猜测是尝试在 /usr/bin/chown 和 /usr/bin/chgrp 的许可下向 /etc/sudoers 添加“受众”。但这太权威了。

我想专门为观众编写一个脚本，但我不知道如何使该脚本具有正确的权限，仅此而已。

有什么好方法可以做到这一点？

我正在尝试为 sql server 设置安全证书。根据文档，我需要设置权限，以便 sql server 实例可以读取私钥。我尝试通过 mmc 设置权限（请参阅https://stackoverflow.com/questions/36830411/how-can-i-give-sql-server-permission-to-read-my-ssl-key）。我右键单击证书，选择“所有任务”，选择“管理私钥”，它会弹出用户对话框。问题是，sql server 实例作为“NT Service\MSSQLSERVER”运行。该用户未出现在组或用户名部分中，如果我尝试将其添加为新用户，我将找不到它。

我尝试了此处列出的过程： 如何将网络服务添加到用户权限组？ 但我仍然无法找到该用户或组。我在这里做错了什么？