Ovládejte přístup k souborům jako správce IT ⚡ Pokročilý kurz sdílení

Plánujte přístup podle skupiny, nikoli podle osob

Než se dotknete jakéhokoli nastavení, rozhodněte se, jaké úrovně přístupu složka potřebuje. V tomto tutoriálu je práce rozdělena do dvou skupin: Účty-úplné pro lidi, kteří mohou otevírat, upravovat a mazat soubory, a Účty-číst pro lidi, kteří mohou soubory pouze prohlížet a otevírat. Každé oprávnění v dalších krocích je uděleno těmto skupinám – nikdy jednotlivcům jeden po druhém.

Zapněte zjišťování sítě a sdílení souborů

Na počítači, který bude hostitelem složky, se ujistěte, že je síťový profil nastaven na Soukromý. Poté otevřete Ovládací panely → Centrum sítí a sdílení → Změnit pokročilá nastavení sdílení a zapněte Zjišťování sítě a Sdílení souborů a tiskáren. Ponechte zapnuté sdílení chráněné heslem, aby se ke sdílení mohli připojit pouze lidé, kteří mají na tomto počítači uživatelský účet.

Každý uživatel, který se bude připojovat, potřebuje na tomto hostitelském počítači svůj vlastní účet a účet musí mít heslo – ve výchozím nastavení systém Windows odmítá síťové přihlášení pro účty s prázdným heslem.

Vytvoření skupin a přidání uživatelů (lusrmgr.msc)

Stiskněte Win + R, zadejte níže uvedený příkaz a stisknutím klávesy Enter otevřete místní uživatele a skupiny:

lusrmgr.msc

Open the Groups folder, right-click in the empty area and choose New Group. Create Accounts-Full and click Add to put the full-access users inside it. Repeat the same way for Accounts-Read and add the view-only users. If a person does not have an account yet, create it first under the Users folder in the same window.

Sdílejte složku pomocí pokročilého sdílení

Klikněte pravým tlačítkem na složku → Vlastnosti → karta Sdílení → Pokročilé sdílení. Zaškrtněte Sdílet tuto složku a nastavte jasný název sdílení – toto je název, který uvidí ostatní počítače v síti. Pokročilé dialogové okno je místo, kde správce sdílí složku, protože poskytuje samostatnou kontrolu nad názvem sdílené položky, počtem současných uživatelů a oprávněními ke sdílení.

Přidáním znaku $ na konec názvu sdílené složky se ze sdílené položky stane skrytá: nezobrazí se, když někdo prohlíží počítač, a lze ji otevřít pouze zadáním úplné cesty.

Nastavte oprávnění ke sdílení pro skupiny

Stále v Pokročilém sdílení klikněte na tlačítko Oprávnění. Odeberte výchozí položku Everyone, aby složka nebyla otevřena celé síti. Poté přidejte dvě skupiny: dejte Účty-Plné oprávnění Úplná kontrola a Účty-Čtení pouze Čtení. Oprávnění ke sdílení mají tři úrovně – Číst, Změnit a Úplné řízení – a platí pouze při otevření složky v síti.

Nastavte oprávnění NTFS na kartě Zabezpečení

Nyní otevřete kartu Zabezpečení ve vlastnostech stejné složky a přidejte do ní dvě stejné skupiny. Poskytněte Účty-Úplné Úplnou kontrolu. Dejte Accounts-Read pouze Read & Execute, List folder Contents a Read – ponechte Upravit a Zápis nezaškrtnuté, jinak může uživatel „pouze pro čtení“ stále měnit nebo mazat soubory. Oprávnění NTFS jsou standardním seznamem Úplné řízení, Upravit, Číst a spouštět, Vypisovat obsah složky, Číst a Zapisovat a chrání soubory na samotném disku – jak pro síťové uživatele, tak pro každého, kdo sedí u tohoto počítače.

Pokud složka zdědila položky ze své nadřazené složky, které nechcete, otevřete Upřesnit na kartě Zabezpečení a pomocí možnosti Zakázat dědičnost je převeďte nebo odeberte. Poté si ponechte pouze položky, které jste sami nastavili.

Zkontrolujte skutečný výsledek s efektivním přístupem

Uživatel, který otevře složku přes síť, je zkontrolován oběma vrstvami a vyhrává restriktivnější výsledek. Pokud tedy oprávnění ke sdílení říká Úplné řízení, ale oprávnění NTFS říká Číst, uživatel skutečně získá Číst. Chcete-li to bez dohadů potvrdit, otevřete složku Vlastnosti → Zabezpečení → Upřesnit → kartu Efektivní přístup, vyberte uživatele a systém Windows přesně ukáže, co daný uživatel může a nemůže ve složce dělat.

Sledujte živý přístup v konzole sdílených složek (fsmgmt.msc)

Jakmile lidé začnou sdílenou složku používat, otevřete konzolu Sdílené složky a spravujte ji živě:

fsmgmt.msc

The Shares node lists every shared folder on the PC, Sessions shows which users are connected right now, and Open Files shows exactly which shared files are open at this moment. From here you can disconnect a user, close an open file or stop sharing a folder — the daily control panel of a shared-folder admin.

Zapněte auditování, abyste viděli, kdo otevřel nebo smazal soubor (secpol.msc)

Oprávnění určují, co mohou uživatelé dělat; audit zaznamenává, co skutečně dělali. Nejprve zapněte auditování v místních zásadách zabezpečení:

secpol.msc

Go to Local Policies → Audit Policy → Audit object access and enable both Success and Failure. Then open the folder Properties → Security → Advanced → Auditing tab and add the groups, choosing the actions you want recorded, such as opening files or deleting them. From then on, access attempts on that folder are written to Event Viewer under Windows Logs → Security — look for event ID 4663 — so you can see which account opened or deleted a file, and when.

Auditing creates a lot of log entries, so enable it on important folders only, not on the whole drive.

Otestujte sdílení z jiného počítače

Na druhém počítači ve stejné síti stiskněte Win + R nebo použijte adresní řádek Průzkumníka souborů a otevřete sdílenou složku podle její síťové cesty, například \\PC-NAME\ShareName – místo názvu můžete také použít IP adresu hostitelského počítače. Přihlaste se pomocí uživatelského účtu, který patří do jedné ze dvou skupin.

Testujte jako správce: člen Accounts-Read by měl mít možnost otevírat soubory, ale musí být odmítnut, když se pokouší uložit změny nebo smazat soubor, a člen Accounts-Full by měl mít možnost normálně upravovat a mazat. Pokud některý z testů poskytne jiný výsledek, před změnou jakéhokoli oprávnění znovu zkontrolujte členství daného uživatele ve skupině a kartu Efektivní přístup z kroku 7.