防止非特权用户更改文件扩展名和调用参数

Question

在办公室局域网中，我想安装一个 MS-Access 数据库。我将把数据库放在它自己的隐藏文件夹中。在另一个文件夹 (folder1) 中，我将放置一个指向 folder1 中隐藏数据库文件的链接（除超级用户外，其他用户都看不到）。

对于超级用户以外的任何用户，我希望只允许用户单击文件夹2上的链接（以启动文件夹1中的数据库应用程序），但是不要打开链接属性、更改或查看它们。我不想让非超级用户知道链接指向的数据库在哪里，也不想让他们更改链接上的参数，例如 (/runtime)。

这不会是唯一的“安全”措施，我打算添加更多措施，例如数据库密码和应用程​​序中的用户级安全。

这可能吗？

我目前无法访问任何 LAN，所以我不得不问一下。谢谢。

Answer 1

如果我理解正确的话，可以通过删除相关用户的“读取扩展属性”权限来实现。

您应该能够执行以下操作：

1. 打开链接属性，“安全”选项卡
2. 点击“高级”
3. 选择“编辑”或“添加”来更改权限
4. 在右侧点击“显示高级权限”
5. 删除“读取扩展属性”权限

上述设置将对您配置的用户隐藏“快捷方式”选项卡，这可能是您想要的。

编辑：我应该补充一点，这绝对只是通过模糊性来实现的安全性，任何真正想要找到原始数据库文件的人都会找到解决这个问题的方法（例如：查看打开的文件句柄，甚至可能是 MS Access“文件打开历史记录会泄露这一点”

Answer 2

如果用户不知道数据库位于何处，我会在测试虚拟机/网络中测试您的理论。

另一件事是，您可以通过 horizo​​n 或 xenapp 类型的方法部署打包给用户的应用程序。他们只会看到一个可以点击的图标。

我认为你可以将窗口锁定到无法创建快捷方式或通过组策略打开/更改任何内容的程度。他们只能访问允许访问的内容。

您还可以在 powershell 中编写检查并使用 DSC，并在发生更改时恢复更改并向您发送报告，指定哪个用户执行了什么操作。

这只是一些可能帮助你得出结论的想法