Hallitse tiedostojen käyttöä kuten IT-järjestelmänvalvoja ⚡ Jakamisen lisäopas

Suunnittele pääsy ryhmän, ei henkilön mukaan

Ennen kuin kosketat mitään asetusta, päätä kansion tarvitsemat käyttöoikeustasot. Tässä opetusohjelmassa työ on jaettu kahteen ryhmään: Accounts-Full ihmisille, jotka voivat avata, muokata ja poistaa tiedostoja, ja Accounts-Read ihmisille, jotka voivat vain tarkastella ja avata tiedostoja. Näille ryhmille annetaan kaikki seuraavien vaiheiden käyttöoikeudet – ei koskaan yksittäisille käyttäjille yksitellen.

Ota verkon etsiminen ja tiedostojen jakaminen käyttöön

Varmista, että kansiota isännöivässä tietokoneessa verkkoprofiili on Yksityinen. Avaa sitten Ohjauspaneeli → Verkko- ja jakamiskeskus → Muuta jakamisen lisäasetuksia ja ota käyttöön Verkon etsintä ja Tiedostojen ja tulostimien jakaminen. Pidä Salasanalla suojattu jakaminen päällä, jotta vain henkilöt, joilla on käyttäjätili tällä tietokoneella, voivat muodostaa yhteyden jaettuun tietoon.

Jokainen käyttäjä, joka muodostaa yhteyden, tarvitsee oman tilin tällä isäntätietokoneella, ja tilillä on oltava salasana – oletusarvoisesti Windows kieltäytyy kirjautumasta verkkoon tilille, jolla on tyhjä salasana.

Luo ryhmät ja lisää käyttäjiä (lusrmgr.msc)

Paina Win + R, kirjoita alla oleva komento ja paina Enter avataksesi Paikalliset käyttäjät ja ryhmät:

lusrmgr.msc

Open the Groups folder, right-click in the empty area and choose New Group. Create Accounts-Full and click Add to put the full-access users inside it. Repeat the same way for Accounts-Read and add the view-only users. If a person does not have an account yet, create it first under the Users folder in the same window.

Jaa kansio jakamisen lisätoiminnolla

Napsauta kansiota hiiren kakkospainikkeella → Ominaisuudet → Jakaminen-välilehti → Jakamisen lisäasetukset. Valitse Jaa tämä kansio ja aseta selkeä jakonimi – tämä on nimi, jonka muut verkossa olevat tietokoneet näkevät. Lisäasetukset-valintaikkuna on paikka, jossa järjestelmänvalvoja jakaa kansion, koska se antaa erillisen hallinnan jaon nimestä, samanaikaisten käyttäjien lukumäärästä ja jakamisoikeuksista.

Jaon nimen loppuun lisääminen $ tekee siitä piilotetun osuuden: se ei näy, kun joku selaa tietokonetta, ja se voidaan avata vain kirjoittamalla sen koko polku.

Aseta jakamisoikeudet ryhmille

Klikkaa Luvat-painiketta, kun olet edelleen lisäjakamisessa. Poista oletusarvoinen Kaikki-merkintä, jotta kansio ei ole avoin koko verkolle. Lisää sitten kaksi ryhmää: anna Accounts-Full-käyttöoikeus Full Control ja anna Accounts-Read vain luku. Jakooikeuksilla on kolme tasoa – luku, muutos ja täysi hallinta – ja ne ovat voimassa vain, kun kansio avataan verkon kautta.

Aseta NTFS-oikeudet Suojaus-välilehdellä

Avaa nyt saman kansion ominaisuuksien Suojaus-välilehti ja lisää samat kaksi ryhmää sinne. Anna Accounts-Full täysi hallinta. Anna Accounts-Read vain Lue ja suorita, Lista kansion sisältö ja Lue – jätä Muokkaa ja Kirjoita valitsematta, muuten "vain luku"-käyttäjä voi edelleen muuttaa tai poistaa tiedostoja. NTFS-oikeudet ovat vakioluettelo täydestä hallinnasta, muokkaamisesta, lukemisesta ja suorittamisesta, luettelo kansion sisällöistä, lukemisesta ja kirjoittamisesta, ja ne suojaavat itse levyllä olevia tiedostoja – sekä verkon käyttäjille että kaikille tämän tietokoneen ääressä istuville.

Jos kansio on perinyt yläkansiostaan merkintöjä, joita et halua, avaa Lisäasetukset Suojaus-välilehdellä ja käytä Poista perintö käytöstä niiden muuntamiseen tai poistamiseen. Säilytä sitten vain itse määrittämäsi merkinnät.

Tarkista todellinen tulos tehokkaalla pääsyllä

Käyttäjä, joka avaa kansion verkon kautta, tarkistetaan molemmilta tasoilta, ja rajoittavampi tulos voittaa. Joten jos jakamisoikeudessa lukee Full Control, mutta NTFS-lupa lukee Read, käyttäjä saa käytännössä Readin. Vahvista tämä arvaamatta avaamalla kansion Ominaisuudet → Suojaus → Lisäasetukset → Tehokas käyttö -välilehti, valitsemalla käyttäjä, ja Windows näyttää tarkalleen, mitä käyttäjä voi tehdä kansiossa ja mitä ei.

Katso Live Access Shared Folders -konsolissa (fsmgmt.msc)

Kun ihmiset alkavat käyttää jaettua sisältöä, avaa Jaetut kansiot -konsoli hallitaksesi sitä livenä:

fsmgmt.msc

The Shares node lists every shared folder on the PC, Sessions shows which users are connected right now, and Open Files shows exactly which shared files are open at this moment. From here you can disconnect a user, close an open file or stop sharing a folder — the daily control panel of a shared-folder admin.

Ota tarkastus käyttöön nähdäksesi kuka avasi tai poisti tiedoston (secpol.msc)

Käyttöoikeudet määräävät, mitä käyttäjät voivat tehdä; tilintarkastus kirjaa, mitä he todella tekivät. Ota valvonta ensin käyttöön paikallisessa suojauskäytännössä:

secpol.msc

Go to Local Policies → Audit Policy → Audit object access and enable both Success and Failure. Then open the folder Properties → Security → Advanced → Auditing tab and add the groups, choosing the actions you want recorded, such as opening files or deleting them. From then on, access attempts on that folder are written to Event Viewer under Windows Logs → Security — look for event ID 4663 — so you can see which account opened or deleted a file, and when.

Auditing creates a lot of log entries, so enable it on important folders only, not on the whole drive.

Testaa jakoa toisesta tietokoneesta

Paina samassa verkossa toisessa tietokoneessa Win + R tai käytä File Explorerin osoitepalkkia ja avaa jako sen verkkopolun mukaan, esimerkiksi \\PC-NAME\ShareName – voit myös käyttää isäntätietokoneen IP-osoitetta sen nimen sijaan. Kirjaudu sisään käyttäjätilillä, joka kuuluu johonkin kahdesta ryhmästä.

Testaa kuten järjestelmänvalvoja: Accounts-Readin-jäsenen pitäisi pystyä avaamaan tiedostoja, mutta häneltä tulee kieltäytyä, kun hän yrittää tallentaa muutoksia tai poistaa tiedostoa, ja Accounts-Full-jäsenen pitäisi pystyä muokkaamaan ja poistamaan normaalisti. Jos jompikumpi testi antaa erilaisen tuloksen, tarkista uudelleen kyseisen käyttäjän ryhmäjäsenyys ja Tehokas käyttöoikeus -välilehti vaiheesta 7 alkaen, ennen kuin muutat käyttöoikeuksia.