کنترل دسترسی به فایل مانند IT Admin ⚡ آموزش اشتراک گذاری پیشرفته

دسترسی برنامه براساس گروه، نه توسط شخص

قبل از لمس هر تنظیمی، سطوح دسترسی مورد نیاز پوشه را تعیین کنید. در این آموزش کار به دو گروه تقسیم می‌شود: Accounts-Full برای افرادی که می‌توانند فایل‌ها را باز، ویرایش و حذف کنند و Accounts-Read برای افرادی که فقط می‌توانند فایل‌ها را مشاهده و باز کنند. هر مجوزی در مراحل بعدی به این گروه ها داده می شود — هرگز به تک تک کاربران یک به یک.

کشف شبکه و اشتراک گذاری فایل را روشن کنید

در رایانه‌ای که پوشه را میزبانی می‌کند، مطمئن شوید که نمایه شبکه روی خصوصی تنظیم شده است. سپس کنترل پنل ← مرکز شبکه و اشتراک ← تغییر تنظیمات اشتراک گذاری پیشرفته را باز کنید و کشف شبکه و اشتراک گذاری فایل و چاپگر را روشن کنید. اشتراک‌گذاری محافظت شده با گذرواژه را روشن نگه دارید تا فقط افرادی که حساب کاربری در این رایانه شخصی دارند بتوانند به اشتراک‌گذاری متصل شوند.

هر کاربری که متصل می‌شود، به حساب خود در این رایانه میزبان نیاز دارد، و حساب باید رمز عبور داشته باشد — به‌طور پیش‌فرض Windows ورود به شبکه را برای حساب‌هایی با رمز عبور خالی امتناع می‌کند.

گروه ها را ایجاد کنید و کاربران را اضافه کنید (lusrmgr.msc)

Win + R را فشار دهید، دستور زیر را تایپ کنید و Enter را فشار دهید تا Local Users and Groups باز شود:

lusrmgr.msc

Open the Groups folder, right-click in the empty area and choose New Group. Create Accounts-Full and click Add to put the full-access users inside it. Repeat the same way for Accounts-Read and add the view-only users. If a person does not have an account yet, create it first under the Users folder in the same window.

به اشتراک گذاری پوشه با استفاده از اشتراک گذاری پیشرفته

روی پوشه → خواص → برگه اشتراک گذاری → اشتراک گذاری پیشرفته کلیک راست کنید. اشتراک گذاری این پوشه را علامت بزنید و یک نام اشتراک گذاری واضح تنظیم کنید — این نامی است که رایانه های شخصی دیگر در شبکه خواهند دید. گفتگوی پیشرفته جایی است که یک مدیر یک پوشه را به اشتراک می گذارد، زیرا کنترل جداگانه ای بر نام اشتراک، تعداد کاربران همزمان و مجوزهای اشتراک می دهد.

افزودن علامت $ در انتهای نام اشتراک‌گذاری، آن را به اشتراک‌گذاری پنهان تبدیل می‌کند: هنگامی که شخصی در رایانه شخصی مرور می‌کند، ظاهر نمی‌شود و تنها با تایپ کردن مسیر کامل آن می‌توان آن را باز کرد.

مجوزهای اشتراک گذاری را برای گروه ها تنظیم کنید

هنوز در اشتراک گذاری پیشرفته هستید، روی دکمه مجوزها کلیک کنید. ورودی پیش‌فرض همه را حذف کنید تا پوشه برای کل شبکه باز نباشد. سپس دو گروه را اضافه کنید: به Accounts-Full اجازه Full Control بدهید و Accounts-Read فقط Read را بدهید. مجوزهای اشتراک سه سطح دارند - خواندن، تغییر و کنترل کامل - و فقط زمانی اعمال می شوند که پوشه از طریق شبکه باز شود.

مجوزهای NTFS را در برگه امنیتی تنظیم کنید

اکنون برگه Security از Properties همان پوشه را باز کرده و همان دو گروه را به آنجا اضافه کنید. به Accounts-Full Full Control بدهید. فقط به Accounts-Read Read & Execute، فهرست محتویات پوشه و Read بدهید — Modify و Write را بدون علامت بگذارید، در غیر این صورت یک کاربر «فقط خواندنی» همچنان می‌تواند فایل‌ها را تغییر یا حذف کند. مجوزهای NTFS لیست استانداردی از کنترل کامل، اصلاح، خواندن و اجرا، فهرست محتویات پوشه، خواندن و نوشتن هستند و از فایل‌های روی خود دیسک محافظت می‌کنند — هم برای کاربران شبکه و هم برای هر کسی که در این رایانه نشسته است.

اگر پوشه دارای ورودی‌هایی از پوشه اصلی خود است که شما نمی‌خواهید، پیشرفته را در برگه امنیت باز کنید و از غیرفعال کردن وراثت برای تبدیل یا حذف آنها استفاده کنید، سپس فقط ورودی‌هایی را که خودتان تنظیم کرده‌اید نگه دارید.

نتایج واقعی را با دسترسی موثر بررسی کنید

کاربری که پوشه را از طریق شبکه باز می کند توسط هر دو لایه بررسی می شود و نتیجه محدودتر برنده می شود. بنابراین اگر مجوز اشتراک بگوید Full Control اما مجوز NTFS بگوید Read، کاربر عملاً Read می‌شود. برای تأیید این موضوع بدون حدس زدن، پوشه Properties → Security → Advanced → Effective Access را باز کنید، یک کاربر را انتخاب کنید و Windows دقیقاً آنچه را که کاربر می تواند و نمی تواند در پوشه انجام دهد نشان می دهد.

دسترسی زنده را در کنسول پوشه‌های مشترک تماشا کنید (fsmgmt.msc)

وقتی افراد شروع به استفاده از اشتراک‌گذاری کردند، کنسول پوشه‌های مشترک را باز کنید تا آن را به‌طور زنده مدیریت کنید:

fsmgmt.msc

The Shares node lists every shared folder on the PC, Sessions shows which users are connected right now, and Open Files shows exactly which shared files are open at this moment. From here you can disconnect a user, close an open file or stop sharing a folder — the daily control panel of a shared-folder admin.

بازرسی را روشن کنید تا ببینید چه کسی یک فایل را باز یا حذف کرده است (secpol.msc)

مجوزها کارهایی را که کاربران می‌توانند انجام دهند را کنترل می‌کنند. ممیزی آنچه را که واقعا انجام داده اند را ثبت می کند. اولین کلید بازرسی در سیاست امنیتی محلی:

secpol.msc

Go to Local Policies → Audit Policy → Audit object access and enable both Success and Failure. Then open the folder Properties → Security → Advanced → Auditing tab and add the groups, choosing the actions you want recorded, such as opening files or deleting them. From then on, access attempts on that folder are written to Event Viewer under Windows Logs → Security — look for event ID 4663 — so you can see which account opened or deleted a file, and when.

Auditing creates a lot of log entries, so enable it on important folders only, not on the whole drive.

اشتراک گذاری را از رایانه دیگری آزمایش کنید

در رایانه دوم در همان شبکه، Win + R را فشار دهید یا از نوار آدرس File Explorer استفاده کنید و اشتراک‌گذاری را از طریق مسیر شبکه آن باز کنید، برای مثال \\PC-NAME\ShareName — همچنین می‌توانید از آدرس IP میزبان رایانه شخصی استفاده کنید. با یک حساب کاربری که متعلق به یکی از این دو گروه است وارد شوید.

مثل یک سرپرست تست کنید: یکی از اعضای Accounts-Read باید بتواند فایل‌ها را باز کند، اما هنگام تلاش برای ذخیره تغییرات یا حذف فایل، باید از آن خودداری شود، و یکی از اعضای Accounts-Full باید بتواند به طور معمول ویرایش و حذف کند. اگر هر یک از آزمایش‌ها نتیجه متفاوتی داشت، قبل از تغییر هر گونه مجوز، عضویت در گروه آن کاربر و برگه دسترسی مؤثر را از مرحله 7 دوباره بررسی کنید.