NTFS-ACL-MODIFY Windows Server, AD и Роли

NTFS: разрешить редактирование файлов, но запретить удаление

Обновлено: 14.09.2026 · Официальная база знаний

Проблема защиты корпоративных файловых помоек

В общих сетевых папках компании (SMB File Share) сотрудники случайно или намеренно удаляют важные документы, перемещают целые каталоги мышью («Drag-and-Drop catastrophe») или очищают таблицы. Стандартный уровень доступа Изменение (Modify) включает в себя безусловное право на удаление файлов и папок.

Стандартное право	Создание	Редактирование	Удаление
Чтение (Read)	Нет	Нет	Нет
Изменение (Modify)	Да	Да	Да (удаляет всё)
Специальные разрешения (Custom NTFS)	Да	Да	НЕТ (Запрещено)

Инструкция по настройке гранулярных прав NTFS

Для корректной работы офисных программ (Word, Excel) простого запрета на «Удаление» недостаточно: при сохранении Excel создает временный скрытый файл и удаляет оригинал, заменяя его новым. Если заблокировать удаление неправильно — пользователи получат ошибку: «Отказано в доступе при сохранении файла».

Настройка уровня общего доступа (Share Permissions): во вкладке Общий доступ > Расширенная настройка > Разрешения выдайте группе пользователей (например, DOMAIN\Domain Users) права: Полный доступ (Full Control). Все ограничения настраиваются СТРОГО на вкладке «Безопасность» (NTFS).
Снятие наследования и базовая настройка: откройте свойства общей папки > вкладка Безопасность > Дополнительно > Отключить наследование > Преобразовать унаследованные разрешения в явные.
Настройка специальных разрешений для группы сотрудников: выделите группу пользователей, нажмите Изменить, переключите режим отображения на «Расширенные разрешения»:
- Применять к: Для этой папки, ее подпапок и файлов.
- Отметьте галочками ТОЛЬКО:
  - Трассировка папок / выполнение файлов
  - Список папок / чтение данных
  - Чтение атрибутов и Чтение расширенных атрибутов
  - Создание файлов / запись данных
  - Создание папок / дозапись данных
  - Запись атрибутов и Запись расширенных атрибутов
  - Чтение разрешений
- СНИМИТЕ флажки с пунктов: Удаление (Delete) и Удаление подпапок и файлов (Delete subfolders and files).

Команда автоматической настройки через ICACLS:

icacls "D:\Shares\Department" /grant:r "DOMAIN\Employees":(OI)(CI)(M,WDAC) /T
# Явный запрет на удаление:
icacls "D:\Shares\Department" /deny "DOMAIN\Employees":(DE)

Критическая коллизия MS Office: Приложению MS Excel для сохранения правок в существующем файле требуется право на удаление временных файлов (.tmp). Чтобы Excel не выдавал ошибок сохранения, не используйте жесткое правило Deny: Delete, а настройте права создания/записи без флага удаления файлов через Advanced Security.

Практический опыт инженера: Практика ITSTM: Чтобы избежать коллизии с временными файлами Microsoft Office, создайте отдельную скрытую папку для обмена (Drop-Box) с правом 'Только создание/Запись', а в основных каталогах архивов переведите права в режим 'Read-Only' для всех, кроме выделенных кураторов документов.

Частые вопросы (FAQ)

Почему пользователи не могут сохранить файл Excel после запрета удаления?

Архитектура сохранения документов Microsoft Excel производит атомарную замену: программа создает временный файл вида ~DFXXXX.tmp, удаляет исходный файл .xlsx и переименовывает временный на его место. Без права удаления Excel блокирует сохранение.

В чем разница между разрешениями 'Удаление' и 'Удаление подпапок и файлов'?

'Удаление' (Delete) относится к текущему выбранному объекту. 'Удаление подпапок и файлов' (Delete Subfolders and Files) — это право родительского каталога, позволяющее удалить вложенный файл независимо от того, какие права стоят на самом файле.

Как восстановить случайно удаленные файлы, если запрет еще не настроили?

Используйте механизм теневых копий томов (VSS - Volume Shadow Copy). Включите снимки тома по расписанию в свойствах диска (вкладка 'Теневые копии').

Какое правило имеет приоритет: Явный запрет (Deny) или Разрешение (Allow)?

В модели безопасности NTFS явный запрет (Explicit Deny) ВСЕГДА имеет абсолютный приоритет над любыми разрешающими правилами (Allow).