在 Windows XP 上：如何创建一个只能读取某个目录的用户？答案

【问题标题】：On Windows XP: How to create a user with read access to only one certain directory?在 Windows XP 上：如何创建一个只能读取某个目录的用户？
【发布时间】：2009-01-02 15:20:42
【问题描述】：

首先让我声明：我知道任何想要运行程序（甚至登录）的用户都必须有权访问（可能至少）Windows 系统目录和%ProgramFiles% 中的共享库，但是我希望能够访问 Skype，例如，通过非特权用户运行它并确保它无法访问任何不必要的文件。

我担心这样做的唯一方法是识别我存储不希望该用户访问的文件的所有目录，然后创建一个可以访问这些目录的新用户组，或者运行VM 中的 Skype 和 Azureus。

有没有更好的办法？

【问题讨论】：

标签： windows windows-xp privileges

【解决方案1】：

通常，帐户至少是用户组的成员，它确实可以访问许多东西。您可以将帐户设置为无组的成员，或者限制非常严格的来宾组。

真正的问题是程序的令牌（一个跟踪正在运行的进程具有哪些安全身份的内部安全对象）将包含所有人和经过身份验证的用户组，它们也具有对大量内容的读取权限。没有这些组就无法创建帐户。您可以删除所有人和经过身份验证的用户组对大多数所有内容的访问权限，但要追踪所有这些内容将需要大量工作。

我想说为不受信任的程序创建标准用户或访客访问帐户就足够安全了。为了支持自我更新并将相关文件保存在同一位置，我建议您将这些程序直接安装在它们将运行的用户帐户的配置文件中，例如C:\Documents and Settings\skype\Program Files\Skype

如果你想变得更花哨，你可以使用受限令牌来让每个人、经过身份验证的用户等组只拒绝（因此他们不能授予任何访问权限）或创建受限 SID 列表。这将很难实现，因为程序期望访问的全局对象是 Everyone 组可以访问的，这通常是一个安全的选择。

见CreateRestrictedToken Function。

还有一个开源命令行程序，我为此创建了一个用于动态创建受限令牌和作业对象的程序：UlimitNT

【讨论】：

我在这方面工作了一段时间......似乎由不是组“HOSTNAME\Users”成员的用户创建的每个程序都自动成为“BUILT-IN”的成员\Users”，这似乎与普通用户组具有相同的访问权限。你能告诉我关于那件事吗？
BUILTIN 是“用户”SID 的类别。 “HOSTNAME\Users”具有误导性，因为它暗示每个系统都有自己的用户组，但事实是用户是在所有域中具有相同值的几个非唯一 SID 之一。 support.microsoft.com/kb/243330
如果您不指定其他内容，我不知道帐户会自动属于“用户”。我必须记住这一点。在这种情况下，请将帐户添加到 Guest 组，该组实际上没有自己的访问权限。
您的程序 (UlimitNT) 正是我正在寻找的，但该网站似乎无法正常工作，请您提供另一个链接吗？
显然，康卡斯特决定停止将未经请求的流量路由给我。我将项目上传到了谷歌代码（真的是一个更好的家）。 code.google.com/p/ulimitnt

【解决方案2】：

也许sudown 是一个解决方案。这是一种类似于 sudo（从 Linux 中得知）的方法，以非特权用户身份运行，但可以在需要时升级为管理帐户（使用密码）。

我想你可以锁定机器，这样用户就可以单独登录，甚至不能以他的权限启动 Skype，而是通过 sudown 的“运行方式”启动 Skype。

【讨论】：

【解决方案3】：

除了使用虚拟机之外，您还可以考虑使用沙盒。看Sandboxiefox 的例子。

【讨论】：

【解决方案4】：

只需使用 acl api（msdn 中的示例）

【讨论】：