在Windows 2003上，权限不传播到组的成员组

Question

基于i386的Windows 2003。

FTP服务器正在以系统用户/组的身份运行。

我们想要的一些文件(读和写)属于组'ftp.‘’。

ftp对这些文件和目录具有完整的读/写/任何权限。

系统无法读取/写入这些目录。因此，我将系统添加到'ftp‘组中。Windows愉快地进行了修改，但是即使在重新启动Filezilla之后，它仍然无法读取/写入这些文件。

在没有“重新授权”所有这些文件的情况下，我们有什么办法去做我们想做的事情吗？将ftp服务器作为“ftp”运行并不是一个真正的选项，因为它还提供系统拥有的文件(而不是ftp)。

叹息..。:)

有什么见解吗？

Answer 1

system (Local )不是一个组，它是一个具有固定的众所周知的安全标识符的本地帐户，用于允许服务在本地系统上具有最高级别的特权。当在此上下文下运行的服务需要在网络上下文中运行时，它们会显示系统的计算机帐户，而不是.\Localsystem或计算机名称\localsystem。

如果您的服务需要权限来访问网络上下文中的某个内容，那么您应该将计算机帐户添加到提供这些权限的组中。

Answer 2

顺便说一句，默认情况下，系统应该拥有对所有事物(滴答声)的完全控制访问(假设您使用的是安全性而不是在这里共享--您是这样做的，不是吗？)因此，我肯定会建议重新许可。我知道这是一个痛苦的脸，但现在得到它将永远救你远离麻烦以后。

Answer 3

从MH (重点地雷)链接的文章中：

系统帐户和管理员帐户(Administrators组)具有相同的文件权限，但它们具有不同的功能。系统帐户由操作系统和在Windows下运行的服务使用。Windows中有许多服务和进程需要内部登录的能力(例如在Windows安装期间)。系统帐户是为此目的而设计的；它是一个内部帐户，不显示在用户管理器中，不能添加到任何组中，也不能将用户权限分配给它。另一方面，系统帐户确实显示在“安全”菜单的“权限”部分的“文件管理器”中的NTFS卷上。默认情况下，系统帐户被授予对NTFS卷上的所有文件的完全控制。在这里，系统帐户具有与管理员帐户相同的功能特权。

这意味着您不能像任何其他用户帐户一样将系统帐户放在一个组中；如果您希望它能够访问某些文件(您在任何地方都非常想要这些文件)，那么它应该显式地拥有NTFS完全控制权限。