NTFS文件访问审计的怪问题

atong999888

服务器名为testsvr<br>
d:\test 共享名为test,共享权限为users完全控制, NTFS权限为users可读<br>
d:\test\001 NTFS权限继承上层目录, 外加审计(everyone任何失败操作)<br>
d:\test\001\test001.txt NTFS和审计集成上层目录<br>
<br>
用户进入\\testsvr\test\001, 用记事本或写字版打开test001.txt, 在服务器的安全事件查看器里出现如下失败警告:<br>
<br>
事件类型: 审核失败<br>
事件来源: Security<br>
事件种类: 对象访问<br>
事件 ID: 560<br>
日期: 2006-3-9<br>
事件: 10:09:31<br>
用户: domain01\user01<br>
计算机: testsvr<br>
描述:<br>
打开的对象:<br>对象服务器: Security<br>对象类型: File<br>对象名称: d:\test\001\txt001.txt<br>句柄 ID: -<br>操作 ID: {0,309118818}<br>进程 ID: 4<br>图像文件名:<br>主要用户名: TXSVR20$<br>主要域: TAECO<br>主要登录 ID: (0x0,0x3E7)<br>客户端用户名: user01<br>客户端域: domain01<br>客户端登录 ID: (0x0,0x1234DB5B)<br>访问次数: (0x0,0x1234DB5B)<br>特权: READ_CONTROL<br>ReadData (或 ListDirectory)<br>ReadEA<br>ReadAttributes<br>WriteAttributes<br>
<br>受限 Sid 计数: -<br>访问掩码: 0<br>
<br>
<br>
<br>
再改一下d:\test\001 NTFS的权限, 给users再加"写入属性"与"写入扩展属性",<br>
用户user01可打文件, 也没有失败日志.<br>
但如果我用execl打开此文件, 却出现如下失败日志<br>
事件类型: 审核失败<br>
事件来源: Security<br>
事件种类: 对象访问<br>
事件 ID: 560<br>
日期: 2006-3-9<br>
事件: 9:59:23<br>
用户: domain01\user01<br>
计算机: Testsvr<br>
描述:<br>
打开的对象:<br>对象服务器: Security<br>对象类型: File<br>对象名称: d:\test\001\txt001.txt<br>句柄 ID: -<br>操作 ID: {0,308604852}<br>进程 ID: 4<br>图像文件名:<br>主要用户名: TXSVR20$<br>主要域: TAECO<br>主要登录 ID: (0x0,0x3E7)<br>客户端用户名: user01<br>客户端域: domain01<br>客户端登录 ID: (0x0,0x1234DB5B)<br>访问次数: (0x0,0x1234DB5B)<br>特权: READ_CONTROL<br>ReadData (或 ListDirectory)<br>WriteData (或 AddFile)<br>AppendData (或 AddSubdirectory 或 CreatePipeInstance)<br>ReadEA<br>WriteEA<br>ReadAttributes<br>WriteAttributes<br>
<br>受限 Sid 计数: -<br>访问掩码: 0<br>
<br>
<br>
<br>
我是不可能再给用户加写的权限了, 真不知如何解决.<br>
<br>