как изменить разрешения для уже существующих папок и файлов

[creativity]

Здравствуйте всем!
начал изучать Windows server 2003 и вот сталкнулся с такой проблеммой, попытаюсь обьяснить как можно яснее:
поднят домен, зашол как администратор, создал пользователя на имя "вова", создал папку "test" включил общий доступ, доступ "все" полный доступ, далее специальные разрешения, добавил пользователя "вова" , дал ему права на создания запись изменения папок, подпапок и файлов.
полный доступ, удалять, менять владельца, читение разрешения, менять разрешения галки не ставил!
захожу с другого компа, пытаюсь зайти в папку "test" естественно запрашивает имя пользователя и пороль пользователя "вова", захожу создаю файл, например текстовый "document 1" , могу изменять, не могу удалять, всё хорошо, иду снова на сервер, меняю права доступа пользователю "вова" запрещаю ему изменения / запись файлов , иду на клиентский компютер захожу под тем же пользователем создаю файл текстовый "document 2", пытаюсь изменить, не чего не выходит, всё как надо, но когдa я пытаюсь изменить файл "document 1" то могу его менять! т.е новые разрешения действуют только на новые созданые файлы или папки, а старые остаются со старыми разрешениями, вопрос в том, как зделать так, чтобы при установки новых разрешений доступа они приминялись ко всем файлам и папкам как старых уже созданых так и новых?
и еще забыл сказать, наследование отключил.
зарание извиняюсь за свой русский и есле что не так, ето первое сообщение моё на етом форуме)
зараие спасибо за помощь)

[AkP]

Наследование прав очень хороший и полезный механизм, зря вы его отключили.
Что касается вашей проблемы, то разрешения меняются правильно, скорее всего у вас включен "создатель-владелец", вот это наоборот - очень вредный механизм.
Советую включить наследование прав с корня диска и удалить создателя-владельца. Чтоб изменения применились ко всем вложенным подкаталогам, возможно понадобиться во вкладке "дополнительно", установить галочку "заменить разрешения для всех дочерних объектов....". Права на сетевой ресурс установите как "полный доступ" для "всех". Разграничение производите на уровне нтфс. Не расставляйте права доступа непосредственно для пользователей. Создайте несколько групп, именно этим группам дайте необходимые полномочия. Все последующие манипуляции производите не средством переписывания нтфс-полномочий, а путем перемещения пользователя из одной группы в другую.

Например, для сетевого ресурса "test", создайте 2 группы test_R, test_W и test_C (группа безопасности, локальная в домене), на сервере, с помощью вкладки "безопасность", установите нтфс-разрешения для этих групп на чтение, запись и изменение соответственно (при этом для каждой группы будет создан свой acl), после чего добавьте пользователя в требуемую группу.

Описывать чем вредно создание большого количества acl, я не буду, просто поверьте - отключение механизма наследования и добавление не пары-тройки групп, а н-ного количества пользователей, да еще и с постоянным переписыванием прав доступа, может вам сильно аукнуться.

поднят домен, зашол как администратор, создал пользователя »
захожу с другого компа, пытаюсь зайти в папку "test" естественно запрашивает имя пользователя и пороль »
это как раз не естественно, если у вас домен, то должна быть сквозная аутентификация. Запроса имени пользователя и пароля быть не должно. Вы создавали пользователя с помощью оснастки АД "пользователи и компьютеры"? или создали локального пользователя?
Вы заходили этим пользователем как пользователем домена, или как локальным пользователем?

т.е новые разрешения действуют только на новые созданые файлы или папки, а старые остаются со старыми разрешениями, вопрос в том, как зделать так, чтобы при установки новых разрешений доступа они приминялись ко всем файлам и папкам как старых уже созданых так и новых? »
Не отключать наследование, отключить создателя-авладельца

ЗЫ
Будьте предельно внимательным, помните, запрет имеет более высокий приоритет чем разрешение (например, если группе пользователей есть запрет, то пользователю который входит в эту группу будет отказано в доступе, даже если непосредственно для него или для другой группы в которую он также выходит, доступ будет дан.)
Ни когда не удаляйте системную учетную запись и встроенную группу локальных администраторов (такая необходимость бывает крайне редко в крайне уникальных случаях и ее надо делать полностью понимая последствия таких действий)
Помните, что доступ по умолчанию - это и есть запрет, так что старайтесь вообще не использовать явные запреты.