Jonctions et Liens Symboliques Récursifs
Recursive Junctions

Retour aux Liens NTFS
Retour à Robocopy

On a vu dans l'article sur les Liens NTFS que depuis Vista le système comprend quelques Liens NTFS récursifs, qui pointent vers leurs conteneurs. Si on enlève volontairement ou non les protections qui en interdisent l'accès, on obtient des effets de dossiers imbriqués, notés selon l'humeur et la culture de l'observateur comme effet boule de neige, poupées russes, vache qui rit....

• C:\Users\Jean Pierre\Local Settings\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data  
      

• C:\Utilisateurs\All Users\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\Application Data\
   

• Nombre incroyable de sous-répertoires du style C:/.../application data/ application data/....../...../application data/....... (d'une longueur extraordinaire) dans c :/users, c:/ ..../appdata/ et C:/ProgramData/  

• Application Data qui se répète à de multiples niveaux suite à l'utilisation d'un logiciel de sauvegarde (SyncBack)

On va voir différentes façons de produire ces phénomènes, et comment se rétablir : 

Sommaire

• Création d'un lien récursif
• Copie de jonctions récursives
• Modification des ACE de la jonction récursive Application Data

Création d'un lien récursif

Un dossier est créé, puis dans celui-ci, on crée un Lien Symbolique absolu pointant vers le dossier conteneur du lien.
La manip est acceptée. On peut se déplacer dans le dossier avec la commande CD.
On observe ensuite l'arborescence avec une commande DIR /S
La commande renonce quand la limite de 260 caractères est atteinte.
La commande RD /S a permis de supprimer le dossier.
L'encadré ci-dessous fait 2443 pixels de large, afficher en pleine page pour une meilleure lecture (F11).

Copie de Jonctions récursives

On vient de voir ce qui se passe quand on explore avec la commande DIR un dossier comportant une Jonction récursive.

Les Jonctions récursives qui posent souvent problèmes aux utilisateurs sont celles concernant "Application Data".
Recherche des jonctions concernant Application Data (présentation du résultat de la commande manuellement expurgée des éléments inutiles) :

Repérées par *** sont les jonctions récursives :

De cette situation on peut prédire des surprises lorsque des utilisateurs aventureux feront sauter la protection de la Jonction (sujet abordé à la section suivante), ou, ce qui nous intéresse ici, quand des sauvegardes seront effectuées sans tenir compte de la présence de Jonctions (anciens logiciels de sauvegarde, utilisation de commandes de copie sans exclusion des jonctions). 

L'exercice suivant va montrer l'effet de la copie d'un dossier comme ProgramData qui comporte une Jonction "Application Data" pointant sur son conteneur.
On reproduit pour l'expérience cette structure sur une clé USB formatée NTFS. On aurait pu choisir la véritable source c:\ProgramData
La copie du dossier est effectuée avec Robocopy. On oublie volontairement d'utiliser le commutateur /XJ (eXclure Jonctions)
Le commutateur /E permet de copier toute la structure, c'est-à-dire tous les dossiers, même les dossiers vides.
Le résultat est que robocopy tente bien de copier la Jonction : mais pas en tant que lien, il tente de copier son contenu.
Robocopy voit donc sans arrêt un sous-dossier Application Data à copier. Il va s'exténuer ainsi à la tâche jusqu'à blocage.
En copiant l'affichage de la console dans Bloc-Notes on peut facilement relever la colonne du curseur dans le texte.
On détermine ainsi que robocopy a rendu les armes lorsque le chemin a atteint 558 caractères.
Après un message "Analyse du répertoire source ... Le nom du fichier ne peut pas être résolu par le système. Attente de 30 secondes..." robocopy se met en devoir de faire un million d'essais espacés de 30 secondes (ce sont les valeurs par défaut quand on ne précise pas les commutateurs /R:nn et /W:nn).
Il faut alors mettre fin à l'opération en appuyant sur CTL+C.
Les opérations suivantes consistent à tenter de supprimer le dossier créé par la copie.
Les premiers essais sont des échecs. Il a fallu avancer dans l'arborescence des dossiers puis utiliser l'artifice de la commande subst.
L'encadré précédent faisait 2443 pixels de large, celui-ci fait 5000 pixels !

Voici une vue dans l'explorateur de fichiers avec les dossiers B:\cible\Application Data\Application Data\Application Data\... créés par la copie de la Jonction récursive :

On se rappellera donc qu'un Lien NTFS est sensé représenter le dossier qu'il pointe et que par conséquent, contrairement aux raccourcis habituels, ce n'est pas le lien qui est traité mais bien la cible du lien. Il faut vérifier les comportements des logiciels et des commandes selon ce qu'on veut obtenir.

Des commutateurs peuvent être utilisés, soit pour désigner le Lien NTFS plutôt que sa cible (/L avec attrib, icacls, /B avec xcopy ...), soit pour ignorer les Lien NTFS (/XJ avec robocopy).

Modification des ACE de la jonction récursive Application Data

On est sensé avoir connaissance de l'article Liens NTFS avant de lire cette section.

ACE = Access Control Entry
ACL = Access Control List

La Jonction c:\ProgramData\Application Data a pour cible son conteneur ProgramData.
Une interdiction d'accès au groupe "Tout le monde" protège l'utilisateur contre l'effet poupées russes.
la petite démo suivante consiste à remplacer l'interdiction d'accès au groupe "Tout le monde" par une autorisation.
On sauvegarde auparavant la liste de contrôle d'accès de la Jonction Application Data dans le fichier acl (avec /save /T). On aurait pu appeler ce fichier acl.txt car il est lisible dans Bloc-Notes. Toutefois il n'a pas tout-à-fait la structure d'un fichier texte, et il ne faut pas le modifier avec Bloc-Notes. C'est pour cela que la commande "type acl" ci-dessous n'affiche pas le premier caractère :

Résultat de l'opération :

Pour réparer on restaure les ACE (Access Control Entries) précédemment sauvegardées dans le fichier acl :

Le fonctionnement normal est retrouvé :

Certains utilisateurs sont tentés de lever l'interdiction d'accès au groupe "Tout le monde" en utilisant l'Onglet Sécurité présent dans les Propriétés de "Application Data". Ils découvrent par la suite l'effet poupées russes. Pour réparer, utiliser à nouveau l'onglet sécurité pour interdire l'accès au groupe "Tout le monde". On peut aussi procéder en lignes de commandes en s'inspirant de la section Réparation d'une jonction :

   icacls     "c:\programdata\application data"  /DENY "tout le monde":(RD) /L
   attrib /L  "c:\programdata\application data" +H +I

icacls    "%userprofile%\AppData\Local\Application Data" /DENY "tout le monde":(RD) /L
attrib /L "%userprofile%\AppData\Local\Application Data" +i

%userprofile%
est une variable d'environnement représentant le profil de l'utilisateur en cours.
Entrer la commande SET dans une console CMD pour afficher les variables d'environnement, on y apprend beaucoup.
Faire la même chose dans une machine XP et comparer les résultats avec les valeurs obtenues dans une machine Vista ou WIN7.

Remarque
On peut utiliser le SID du groupe "Tout le monde", ça évite les problèmes de traduction (Everyone) :

   icacls "%homedrive%\documents and settings" /DENY "*S-1-1-0":(RD) /L

Retour aux Liens NTFS
Retour à Robocopy

Merci d'avoir lu jusqu'ici !
Retour au début
Les restes du site
JF (Jean-François)
 

Publié le 04/04/2009