Styr filåtkomst som IT-administratör ⚡ Handledning för avancerad delning

Planera åtkomst efter grupp, inte efter person

Innan du trycker på någon inställning, bestäm vilka åtkomstnivåer som mappen behöver. I den här handledningen är arbetet uppdelat i två grupper: Konton-Full för de personer som kan öppna, redigera och ta bort filer, och Konton-Läs för de personer som bara kan visa och öppna filer. Varje behörighet i nästa steg ges till dessa grupper – aldrig till enskilda användare en efter en.

Aktivera nätverksupptäckt och fildelning

På datorn som ska vara värd för mappen, se till att nätverksprofilen är inställd på Privat. Öppna sedan Kontrollpanelen → Nätverks- och delningscenter → Ändra avancerade delningsinställningar och aktivera Nätverksupptäckt och Fil- och skrivardelning. Låt Lösenordsskyddad delning vara aktiverat så att endast personer som har ett användarkonto på den här datorn kan ansluta till delning.

Varje användare som kommer att ansluta behöver ett eget konto på den här värddatorn, och kontot måste ha ett lösenord – som standard vägrar Windows nätverksinloggning för konton med ett tomt lösenord.

Skapa grupperna och lägg till användare (lusrmgr.msc)

Tryck på Win + R, skriv kommandot nedan och tryck på Retur för att öppna Lokala användare och grupper:

lusrmgr.msc

Open the Groups folder, right-click in the empty area and choose New Group. Create Accounts-Full and click Add to put the full-access users inside it. Repeat the same way for Accounts-Read and add the view-only users. If a person does not have an account yet, create it first under the Users folder in the same window.

Dela mappen med avancerad delning

Högerklicka på mappen → Egenskaper → fliken Dela → Avancerad delning. Markera Dela den här mappen och ange ett tydligt delningsnamn – det här är namnet som andra datorer kommer att se i nätverket. Den avancerade dialogrutan är där en administratör delar en mapp, eftersom den ger separat kontroll över delningsnamnet, antalet samtidiga användare och delningsbehörigheterna.

Om du lägger till ett $-tecken i slutet av resursnamnet blir det en dold resurs: den visas inte när någon surfar på datorn, och den kan bara öppnas genom att skriva hela sökvägen.

Ange delningsbehörigheter för grupperna

Fortfarande i Avancerad delning, klicka på knappen Behörigheter. Ta bort standardposten Alla så att mappen inte är öppen för hela nätverket. Lägg sedan till de två grupperna: ge Accounts-Full behörigheten Full Control, och ge Accounts-Read endast Läs. Delningsbehörigheter har tre nivåer – Läs, Ändra och Full kontroll – och de gäller endast när mappen öppnas över nätverket.

Ange NTFS-behörigheter på fliken Säkerhet

Öppna nu fliken Säkerhet i samma mapps egenskaper och lägg till samma två grupper där. Ge Accounts-Full Full Control. Ge endast Accounts-Read Läs & kör, Lista mappinnehåll och Läs – lämna Ändra och Skriv omarkerade, annars kan en "skrivskyddad" användare fortfarande ändra eller ta bort filer. NTFS-behörigheter är standardlistan för Full kontroll, Ändra, Läs & kör, Lista mappinnehåll, Läs och Skriv, och de skyddar filerna på själva disken – både för nätverksanvändare och för alla som sitter vid den här datorn.

Om mappen har ärvt poster från sin överordnade mapp som du inte vill ha, öppna Avancerat på fliken Säkerhet och använd Inaktivera arv för att konvertera eller ta bort dem. Behåll sedan endast de poster du ställt in själv.

Kontrollera det verkliga resultatet med effektiv åtkomst

En användare som öppnar mappen över nätverket kontrolleras av båda lagren, och det mer restriktiva resultatet vinner. Så om delbehörigheten säger Full kontroll men NTFS-behörigheten säger Läs, får användaren faktiskt Läs. För att bekräfta detta utan att gissa, öppna mappen Egenskaper → Säkerhet → Avancerat → fliken Effektiv åtkomst, välj en användare och Windows visar exakt vad användaren kan och inte kan göra i mappen.

Titta på Live Access i Shared Folders Console (fsmgmt.msc)

När folk börjar använda delningen öppnar du konsolen Delade mappar för att hantera den live:

Slå på granskning för att se vem som har öppnat eller tagit bort en fil (secpol.msc)

Behörigheter styr vad användare kan göra; granskar vad de faktiskt gjorde. Slå först på granskning i lokal säkerhetspolicy:

Testa delningen från en annan dator

På en andra dator i samma nätverk, tryck på Win + R eller använd filutforskarens adressfält och öppna resursen via dess nätverkssökväg, till exempel \\PC-NAME\ShareName — du kan också använda värddatorns IP-adress istället för dess namn. Logga in med ett användarkonto som tillhör en av de två grupperna.

Testa som en administratör: en medlem av Accounts-Read ska kunna öppna filer men måste nekas när man försöker spara ändringar eller ta bort en fil, och en medlem av Accounts-Full ska kunna redigera och radera normalt. Om något av testerna ger ett annat resultat, kontrollera igen användarens gruppmedlemskap och fliken Effektiv åtkomst från steg 7 innan du ändrar någon behörighet.