AD DS에 조인된 Azure Virtual Desktop 호스트에서 사용하는 FSLogix Profile Containers 공유를 위한 NTFS 및 공유 권한을 설계하고 있습니다. 사용자가 자신의 폴더와 VHDX 파일을 생성할 수 있지만, 다른 사용자의 폴더를 보거나 수정할 수 없도록 해야 합니다. 어떤 구성이 이 요구 사항을 충족합니까?

이 구성은 FSLogix 프로필 컨테이너에 필요한 최소 권한 원칙을 따릅니다. 공유 권한을 'Everyone = Full Control'로 설정하면 모든 사용자가 공유에 액세스할 수 있습니다. NTFS 권한은 세분화된 제어를 제공합니다. 'SYSTEM' 및 'Administrators'에 'Full Control'을 부여하는 것은 관리 및 시스템 작업에 필수적입니다. 'Users' (또는 'Domain Users')에 '폴더 생성/데이터 추가' 및 '폴더 나열/데이터 읽기 (이 폴더에만 해당)' 권한을 부여하면 사용자가 자신의 프로필 폴더를 생성하고 볼 수 있지만, 다른 사용자의 폴더 내용은 볼 수 없습니다. 'Creator Owner = Full Control (하위 폴더 및 파일에만 해당)'은 사용자가 자신의 프로필 폴더 내에서 모든 권한을 갖도록 하여 VHDX 파일을 생성하고 수정할 수 있게 합니다. 다른 옵션들은 다음 이유로 적합하지 않습니다. '공유: Domain Users = Read. 루트의 NTFS: Users = Modify'는 사용자가 자신의 프로필을 생성하거나 수정할 수 없습니다. '공유: Authenticated Users = Change. NTFS: 부모 폴더에서 기본값 상속'은 필요한 세분화된 제어를 제공하지 않습니다. '공유: Administrators만. NTFS: Administrators = Full Control만'은 일반 사용자의 액세스를 완전히 차단합니다. '공유: Everyone = Full Control. NTFS: 루트 및 하위 폴더의 Everyone = Full Control'은 다른 사용자의 프로필에 대한 무제한 액세스를 허용하여 보안 위험을 초래합니다.