什么是 Owner Rights 权限？
-
定义: Owner Rights 是一个内置 SID（S-1-3-4），表示资源的所有者所拥有的默认权限。它在 Windows Vista 及后续版本中引入，用于更精细地控制所有者的访问权限。
-
作用: Owner Rights 允许系统管理员限制或定义资源所有者在默认情况下的权限，而不依赖于传统的“所有者自动获得完全控制”的规则。
-
典型场景: 在 NTFS 文件系统中，当用户成为文件或文件夹的所有者时，Owner Rights 可用于调整其权限。
Owner Rights 权限的具体能力
Owner Rights 的权限并非固定的，而是由系统策略或手动配置定义，默认包括：
-
文件和文件夹管理:
-
默认权限:
-
在未配置的情况下，所有者通常对资源有完全控制权（读取、写入、修改权限等）。
-
如果 Owner Rights 在 ACL（访问控制列表）中明确指定，则以其定义的权限为准（如仅读取）。
-
-
限制:
-
默认不直接授予权限，除非在安全描述符中设置。
-
无权超越 TrustedInstaller 对系统文件的保护。
-
-
-
动态性:
- Owner Rights 的权限适用于当前的所有者，当所有权变更时，权限随之转移给新所有者。
-
系统配置:
- 无权修改系统设置，仅限于资源访问控制。
与 Creator Owner、Administrators 和其他组的关系
-
与 Creator Owner 的对比:
-
Creator Owner: 表示创建者个人，权限在创建时动态分配。
-
Owner Rights: 表示当前所有者，权限由系统或管理员定义。
-
示例：Alice 创建文件（Creator Owner），Bob 接管所有权（Owner Rights 适用）。
-
-
与 Administrators 的对比:
-
Administrators: 拥有完全控制权，可接管任何资源的所有权。
-
Owner Rights: 权限受限，取决于配置，通常低于 Administrators。
-
-
与 Users 的对比:
-
Users: 标准用户权限固定。
-
Owner Rights: 动态权限，适用于资源所有者。
-
-
与 TrustedInstaller 的关系:
- Owner Rights 无权修改受 TrustedInstaller 保护的系统文件，除非接管所有权并调整权限。
Owner Rights 权限的特点
-
默认状态: 默认情况下，Owner Rights 不出现在 ACL 中，所有者权限由传统规则（完全控制）决定。
-
可配置性: 管理员可以通过安全策略或 ACL 限制所有者的权限。
-
安全性: 防止所有者因默认高权限而滥用资源。
如何管理 Owner Rights 权限？
-
查看权限:
- 右键文件/文件夹 → 属性 → 安全选项卡 → 高级 → 查看 Owner Rights（通常不直接显示，除非手动添加）。
-
调整权限:
-
设置 Owner Rights：
-
右键文件夹 → 属性 → 安全 → 高级 → 编辑 → 添加“Owner Rights” → 指定权限（如“只读”）。
-
命令行：icacls "C:\Test" /grant "Owner Rights:(R)"（授予读取权限）。
-
-
-
更改所有者:
-
右键文件 → 属性 → 安全 → 高级 → 所有者 → 编辑 → 选择新所有者。
-
Owner Rights 权限将应用到新所有者。
-
-
策略配置:
- 本地安全策略（secpol.msc）→ 本地策略 → 安全选项 → “系统对象：默认的所有者权限”可影响 Owner Rights 行为。
实际应用场景
-
权限限制: 在共享文件夹中，限制所有者权限为“只读”，防止意外修改。
-
企业管理: 管理员为敏感文件设置 Owner Rights，确保所有者无法随意更改访问控制。
-
合规性: 在需要严格权限管理的环境中，定义所有者的具体权限。
注意事项
-
默认行为: 若未配置 Owner Rights，所有者通常获得完全控制权。
-
与所有权的区别: Owner Rights 是权限标识，所有权是资源归属状态。
-
高级用法: 通常在企业或安全敏感环境中使用，家用场景较少调整。
总结
Owner Rights 权限是一个特殊的权限标识，用于定义资源所有者的访问权限。它通过 ACL 或策略配置，动态适用于当前所有者，比 Creator Owner（创建者）更广泛，低于 Administrators 和 TrustedInstaller 的权限。默认不限制所有者，但在需要精细控制的场景下可用于增强安全性，适用于 NTFS 文件系统和资源管理