Controlați accesul la fișiere ca administratorul IT ⚡ Tutorial avansat de partajare

Planificați accesul în funcție de grup, nu de persoană

Înainte de a atinge orice setare, decideți nivelurile de acces de care are nevoie folderul. În acest tutorial, munca este împărțită în două grupuri: Conturi-Complete pentru persoanele care pot deschide, edita și șterge fișiere și Conturi-Citire pentru persoanele care pot doar să vizualizeze și să deschidă fișiere. Fiecare permisiunea din următorii pași este acordată acestor grupuri – niciodată utilizatorilor individuali unul câte unul.

Activați Descoperirea rețelei și Partajarea fișierelor

Pe computerul care va găzdui folderul, asigurați-vă că profilul de rețea este setat la Privat. Apoi deschideți Panou de control → Centru de rețea și partajare → Modificați setările avansate de partajare și activați Descoperirea rețelei și Partajarea fișierelor și a imprimantei. Păstrați Partajarea protejată prin parolă activată, astfel încât numai persoanele care au un cont de utilizator pe acest computer se pot conecta la partajare.

Fiecare utilizator care se va conecta are nevoie de propriul cont pe acest computer gazdă, iar contul trebuie să aibă o parolă — în mod implicit Windows refuză conectarea la rețea pentru conturile cu o parolă goală.

Creați grupuri și adăugați utilizatori (lusrmgr.msc)

Apăsați Win + R, introduceți comanda de mai jos și apăsați Enter pentru a deschide Utilizatori și grupuri locale:

lusrmgr.msc

Open the Groups folder, right-click in the empty area and choose New Group. Create Accounts-Full and click Add to put the full-access users inside it. Repeat the same way for Accounts-Read and add the view-only users. If a person does not have an account yet, create it first under the Users folder in the same window.

Partajați dosarul utilizând partajarea avansată

Faceți clic dreapta pe dosar → Proprietăți → fila Partajare → Partajare avansată. Bifați Partajați acest folder și setați un nume de partajare clar - acesta este numele pe care îl vor vedea celelalte computere în rețea. Dialogul avansat este locul în care un administrator partajează un folder, deoarece oferă control separat asupra numelui partajării, numărului de utilizatori simultani și permisiunilor de partajare.

Adăugarea unui semn $ la sfârșitul numelui partajării îl face o partajare ascunsă: nu apare atunci când cineva navighează pe computer și poate fi deschis doar tastând calea completă.

Setați permisiunile de partajare pentru grupuri

Încă în Partajare avansată, faceți clic pe butonul Permisiuni. Eliminați intrarea implicită Toți, astfel încât folderul să nu fie deschis pentru întreaga rețea. Apoi adăugați cele două grupuri: acordați Accounts-Full permisiunea Full Control și acordați Accounts-Read numai Citire. Permisiunile de partajare au trei niveluri — Citire, Modificare și Control total — și se aplică numai atunci când folderul este deschis prin rețea.

Setați permisiunile NTFS în fila Securitate

Acum deschideți fila Securitate din Proprietățile aceluiași folder și adăugați acolo aceleași două grupuri. Oferiți Conturi-Complete Control deplin. Dați Conturi-Citire numai Citire și Executare, Afișați conținutul folderului și Citiți — lăsați debifate Modificare și Scriere, altfel un utilizator „numai citire” poate încă modifica sau șterge fișiere. Permisiunile NTFS sunt lista standard de Control total, Modificare, Citire și execuție, Listă conținutul folderului, Citire și scriere și protejează fișierele de pe disc în sine - atât pentru utilizatorii de rețea, cât și pentru oricine stă la acest computer.

Dacă folderul a moștenit intrări din dosarul părinte pe care nu le doriți, deschideți Avansat în fila Securitate și utilizați Dezactivați moștenirea pentru a le converti sau a le elimina, apoi păstrați numai intrările pe care le-ați setat singur.

Verificați rezultatul real cu acces efectiv

Un utilizator care deschide folderul prin rețea este verificat de ambele straturi, iar rezultatul mai restrictiv câștigă. Deci, dacă permisiunea de partajare spune Control total, dar permisiunea NTFS spune Citire, utilizatorul primește efectiv Citire. Pentru a confirma acest lucru fără a ghici, deschideți folderul Proprietăți → Securitate → fila Avansat → Acces efectiv, selectați un utilizator și Windows arată exact ce poate și nu poate face acel utilizator în dosar.

Vizionați Accesul în direct în Consola de dosare partajate (fsmgmt.msc)

Odată ce oamenii încep să folosească partajarea, deschideți consola Dosare partajate pentru a o gestiona în direct:

fsmgmt.msc

The Shares node lists every shared folder on the PC, Sessions shows which users are connected right now, and Open Files shows exactly which shared files are open at this moment. From here you can disconnect a user, close an open file or stop sharing a folder — the daily control panel of a shared-folder admin.

Activați auditarea pentru a vedea cine a deschis sau a șters un fișier (secpol.msc)

Permisiunile controlează ce pot face utilizatorii; auditarea înregistrează ceea ce au făcut efectiv. Activați mai întâi auditarea în Politica de securitate locală:

secpol.msc

Go to Local Policies → Audit Policy → Audit object access and enable both Success and Failure. Then open the folder Properties → Security → Advanced → Auditing tab and add the groups, choosing the actions you want recorded, such as opening files or deleting them. From then on, access attempts on that folder are written to Event Viewer under Windows Logs → Security — look for event ID 4663 — so you can see which account opened or deleted a file, and when.

Auditing creates a lot of log entries, so enable it on important folders only, not on the whole drive.

Testați distribuirea de pe un alt computer

Pe un al doilea computer din aceeași rețea, apăsați Win + R sau utilizați bara de adrese File Explorer și deschideți partajarea după calea rețelei, de exemplu \\PC-NAME\ShareName — puteți utiliza și adresa IP a computerului gazdă în locul numelui său. Conectați-vă cu un cont de utilizator care aparține unuia dintre cele două grupuri.

Testează ca un administrator: un membru al Accounts-Read ar trebui să poată deschide fișiere, dar trebuie refuzat când încearcă să salveze modificări sau să ștergă un fișier, iar un membru al Accounts-Full ar trebui să poată edita și șterge în mod normal. Dacă oricare dintre teste dă un rezultat diferit, verificați din nou apartenența la grupul respectivului utilizator și fila Acces efectiv de la Pasul 7 înainte de a schimba orice permisie.