Quelle est la différence entre les deux?
WO fait référence au paramètre "propriétaire" du fichier, qui est un champ complètement distinct des entrées de DACL (bien que faisant toujours partie de la structure ACL globale). Cela ne fait pas référence à la capacité de modifier l'entrée ACL 'CRÉATEUR PROPRIÉTAIRE'.
Le propriétaire du fichier a implicitement les droits WDAC (mais pas les autorisations complètes - tout le reste doit être accordé via un ACE standard). De plus, lorsque les quotas de disque sont activés, l'espace consommé par le fichier est pris en compte dans le quota de son propriétaire, ce qui est une autre raison pour laquelle définir le propriétaire du fichier est une permission distincte.
Notez que le fait d'avoir les permissions WO n'implique pas les permissions WDAC - pour obtenir les WDAC, vous devriez toujours vous définir comme propriétaire en premier.
Est-ce qu'un utilisateur avec des permissions (WDAC) peut toujours modifier les autorisations sans avoir un ensemble de permissions (WO)?
Oui, ils peuvent modifier toutes les entrées de DACL.
Note supplémentaire : Si quelque chose fonctionne même si cela ne devrait pas (surtout si certains cmdlets PowerShell vous permettent de faire des choses contrairement à la DACL du fichier), généralement c'est parce que cela a été fait avec des privilèges système.
Par exemple, "Prendre possession" n'est pas nécessairement réalisé en ayant les permissions WO - cela peut également être fait en utilisant le privilège système SeTakeOwnership que tous les administrateurs possèdent.
Les administrateurs ont également les privilèges système SeBackupPrivilege et SeRestorePrivilege ; lorsque ces privilèges sont activés, ce processus peut contourner la DACL pour la plupart des opérations. Par exemple, lorsque vous essayez de supprimer quelque chose dans PowerShell, cela active SeRestorePrivilege pour contourner les ACL qui empêcheraient la suppression.
Comme autre exemple, ni la permission WO ni le privilège SeTakeOwnership ne vous permettent de définir des comptes arbitraires comme propriétaire du fichier - ils vous permettent simplement de réclamer le fichier pour vous-même. Ainsi, lorsque vous utilisez l'interface graphique de l'Explorateur ou icacls /setowner pour définir quelqu'un d'autre comme nouveau propriétaire, cela se fait en réalité en se basant sur SeRestorePrivilege pour définir des ACL arbitraires.
