[решено] Настройка разрешений на доступ к папкам

[fraid]

Есть такая задача:
Организовать доступ к личным папкам пользователей на общем сетевом ресурсе таким образом, чтобы пользователь на свою папку имел полный доступ, а отдел, в котором он работает доступ только для чтения.

Пример:
В большинстве случаев принято для примера брать именно этих людей: Иванов, Петров, Сидоров. Наш случай не исключние...
Все они работают в отделе Закупа.
На общесетевом ресурсе создана папка Закуп и в ней папки Иванов, Петров, Сидоров
В Active Directory заведены одноименные пользователи и группа Закуп, членами которой они являются.

На папку Закуп имеет полный доступ группа Закуп
На папку Иванов имеет полный доступ юзер Иванов и доступ только для чтения группа Закуп (права не наследуются от родителей)
На папку Петров имеет полный доступ юзер Петров и доступ только для чтения группа Закуп (права не наследуются от родителей)
На папку Сидоров имеет полный доступ юзер Сидоров и доступ только для чтения группа Закуп (права не наследуются от родителей)

Так вот, AD не дает возможности такое организовать, так как:
http://i037.radikal.ru/1304/ec/80105d5706af.jpg (http://www.radikal.ru)

И если от любого юзера зайти в папку Закуп, то никто в ней ничего не находит. Пусто...

Каким способом можно выполнить эту задачу, не отказываясь от групп?

[Petya V4sechkin]

fraid, зачем у вас запрет задан?

[fraid]

Чтобы твои коллеги, случайно либо умышленно, не могли удалить твои документы...

[Petya V4sechkin]

fraid, коллегам достаточно иметь разрешение на чтение.
Поэтому:

зачем у вас запрет задан?

[fraid]

Хм, сейчас попробовал запрет не давать...
Вощим Петров теперь может в свой папке творить, что захочет, а вот любой другой член группы Закуп его папку не видит.

Получается так с разрешениями:
На папку Закуп админ имеет полные права, группа закуп все права, кроме Удаление, Смена разрешений, Смена владельца.
На папку Петров он имеет полные права, а группа закуп Выполнение файлов, Чтение данных, Чтение атрибутов, Чтение дополнительных атрибутов.

О! Разобрался!!! Видимо, когда я создавал папку Закуп, я там тоже запрет ставил на удаление, а при просмотре разрешений там галочек не видно...
Создал сейчас все по новому и разрешения по новому раздал, все получилось!!!
Благодарю Petya V4sechkin!!!

[fraid]

Можно ли ср-вами винды или AD или еще каким-то образом отслеживать, кто создал/изменил/удалил файл/папку?

[Petya V4sechkin]

кто создал/изменил/удалил файл/папку?
Применение Аудита Windows для отслеживания деятельности пользователей (http://blog.windowsnt.lv/2011/08/31/tracking-user-activity-russian/)