שליטה בגישה לקבצים כמו מנהל IT ⚡ מדריך שיתוף מתקדם

תכנן גישה לפי קבוצה, לא לפי אדם

לפני נגיעה בהגדרה כלשהי, קבע את רמות הגישה הדרושה לתיקיה. במדריך זה העבודה מחולקת לשתי קבוצות: Accounts-Full עבור האנשים שיכולים לפתוח, לערוך ולמחוק קבצים, ו-Accounts-Read עבור האנשים שיכולים רק להציג ולפתוח קבצים. כל הרשאה בשלבים הבאים ניתנת לקבוצות אלה - לעולם לא למשתמשים בודדים אחד אחד.

הפעל גילוי רשת ושיתוף קבצים

במחשב שיארח את התיקיה, ודא שפרופיל הרשת מוגדר לפרטי. לאחר מכן פתח את לוח הבקרה → מרכז הרשת והשיתוף → שנה הגדרות שיתוף מתקדמות והפעל את גילוי רשת ושיתוף קבצים ומדפסות. השאר את שיתוף מוגן באמצעות סיסמה מופעל, כך שרק אנשים שיש להם חשבון משתמש במחשב זה יוכלו להתחבר לשיתוף.

כל משתמש שיתחבר צריך חשבון משלו במחשב המארח הזה, ולחשבון חייבת להיות סיסמה - כברירת מחדל, Windows מסרבת להיכנס לרשת עבור חשבונות עם סיסמה ריקה.

צור את הקבוצות והוסף משתמשים (lusrmgr.msc)

הקש Win + R, הקלד את הפקודה למטה והקש Enter כדי לפתוח משתמשים וקבוצות מקומיים:

lusrmgr.msc

Open the Groups folder, right-click in the empty area and choose New Group. Create Accounts-Full and click Add to put the full-access users inside it. Repeat the same way for Accounts-Read and add the view-only users. If a person does not have an account yet, create it first under the Users folder in the same window.

שתף את התיקיה באמצעות שיתוף מתקדם

לחץ לחיצה ימנית על התיקיה → מאפיינים → הכרטיסייה שיתוף → שיתוף מתקדם. סמן את שתף תיקיה זו והגדר שם שיתוף ברור - זה השם שמחשבים אחרים יראו ברשת. תיבת הדו-שיח המתקדמת היא המקום שבו מנהל משתף תיקיה, מכיוון שהוא נותן שליטה נפרדת על שם השיתוף, מספר המשתמשים בו-זמנית והרשאות השיתוף.

הוספת סימן $ בסוף שם השיתוף הופכת אותו לשיתוף נסתר: הוא אינו מופיע כאשר מישהו גולש במחשב, וניתן לפתוח אותו רק על ידי הקלדת הנתיב המלא שלו.

הגדר הרשאות שיתוף עבור הקבוצות

עדיין בשיתוף מתקדם, לחץ על הלחצן הרשאות. הסר את ערך ברירת המחדל של כולם כדי שהתיקיה לא תהיה פתוחה לכל הרשת. לאחר מכן הוסף את שתי הקבוצות: תן ל-Accounts-Full את הרשאת Full Control, ותן Accounts-Read בלבד קריאה. להרשאות השיתוף יש שלוש רמות - קריאה, שינוי ושליטה מלאה - והן חלות רק כאשר התיקיה נפתחת ברשת.

הגדר הרשאות NTFS בכרטיסייה אבטחה

עכשיו פתח את הכרטיסייה אבטחה של המאפיינים של אותה תיקייה והוסף לשם את אותן שתי קבוצות. תן Accounts-Full שליטה מלאה. תן חשבונות-קריאה בלבד קריאה וביצוע, רשום את תוכן התיקיה וקריאה - השאר את 'שנה וכתוב' ללא סימון, אחרת משתמש "לקריאה בלבד" עדיין יכול לשנות או למחוק קבצים. הרשאות NTFS הן הרשימה הסטנדרטית של שליטה מלאה, שינוי, קריאה וביצוע, רשימת תוכן תיקיות, קריאה וכתיבה, והן מגנות על הקבצים בדיסק עצמו - הן עבור משתמשי רשת והן עבור כל מי שיושב על המחשב הזה.

אם לתיקיה יש ערכים בירושה מתיקיית האב שלה שאינך רוצה, פתח את מתקדם בכרטיסייה אבטחה והשתמש בהשבת ירושה כדי להמיר או להסיר אותם, ולאחר מכן שמור רק את הערכים שהגדרת בעצמך.

בדוק את התוצאה האמיתית עם גישה יעילה

משתמש שפותח את התיקיה ברשת נבדק על ידי שתי השכבות, והתוצאה המגבילה יותר מנצחת. אז אם הרשאת השיתוף אומרת שליטה מלאה אבל הרשאת NTFS אומרת קריאה, המשתמש מקבל למעשה קריאה. כדי לאשר זאת מבלי לנחש, פתח את התיקיה מאפיינים ← אבטחה ← מתקדם → הכרטיסייה גישה יעילה, בחר משתמש, ו-Windows יראה בדיוק מה אותו משתמש יכול ומה לא יכול לעשות בתיקייה.

צפה בגישה חיה במסוף התיקיות המשותפות (fsmgmt.msc)

לאחר שאנשים יתחילו להשתמש בשיתוף, פתח את מסוף התיקיות המשותפות כדי לנהל אותו בשידור חי:

fsmgmt.msc

The Shares node lists every shared folder on the PC, Sessions shows which users are connected right now, and Open Files shows exactly which shared files are open at this moment. From here you can disconnect a user, close an open file or stop sharing a folder — the daily control panel of a shared-folder admin.

הפעל ביקורת כדי לראות מי פתח או מחק קובץ (secpol.msc)

הרשאות קובעות מה המשתמשים יכולים לעשות; הביקורת רושמת את מה שהם עשו בפועל. תחילה הפעל את הביקורת במדיניות אבטחה מקומית:

secpol.msc

Go to Local Policies → Audit Policy → Audit object access and enable both Success and Failure. Then open the folder Properties → Security → Advanced → Auditing tab and add the groups, choosing the actions you want recorded, such as opening files or deleting them. From then on, access attempts on that folder are written to Event Viewer under Windows Logs → Security — look for event ID 4663 — so you can see which account opened or deleted a file, and when.

Auditing creates a lot of log entries, so enable it on important folders only, not on the whole drive.

בדוק את השיתוף ממחשב אחר

במחשב שני באותה רשת, הקש Win + R או השתמש בסרגל הכתובות של סייר הקבצים ופתח את השיתוף לפי נתיב הרשת שלו, לדוגמה \\PC-NAME\ShareName - אתה יכול גם להשתמש בכתובת ה-IP של המחשב המארח במקום שמו. היכנס עם חשבון משתמש השייך לאחת משתי הקבוצות.

בדוק כמו מנהל מערכת: חבר ב-Accounts-Read אמור להיות מסוגל לפתוח קבצים אך יש לסרב לו כאשר מנסים לשמור שינויים או למחוק קובץ, וחבר ב-Accounts-Full אמור להיות מסוגל לערוך ולמחוק כרגיל. אם אחת הבדיקות נותנת תוצאה שונה, בדוק שוב את החברות בקבוצה של המשתמש ואת הכרטיסייה גישה יעילה משלב 7 לפני שתשנה הרשאה כלשהי.