Контролюйте доступ до файлів як ІТ-адміністратор ⚡ Посібник із розширеного спільного доступу

Плануйте доступ групою, а не особою

Перш ніж торкатися будь-якого налаштування, визначте рівні доступу, які потрібні папці. У цьому посібнику робота поділена на дві групи: Accounts-Full для людей, які можуть відкривати, редагувати та видаляти файли, і Accounts-Read для людей, які можуть лише переглядати та відкривати файли. Кожен дозвіл на наступних кроках надається цим групам — ніколи окремим користувачам по одному.

Увімкніть виявлення мережі та спільний доступ до файлів

Переконайтеся, що на комп’ютері, на якому розміщена папка, для профілю мережі встановлено значення Приватний. Потім відкрийте Панель керування → Центр мереж і спільного доступу → Змінити додаткові налаштування спільного доступу та ввімкніть Виявлення мережі та Спільний доступ до файлів і принтерів. Увімкніть Спільний доступ, захищений паролем, щоб лише люди, які мають обліковий запис користувача на цьому ПК, могли підключитися до спільного доступу.

Кожному користувачеві, який підключатиметься, потрібен власний обліковий запис на цьому головному комп’ютері, і обліковий запис повинен мати пароль — за замовчуванням Windows відмовляється входити в мережу для облікових записів із порожнім паролем.

Створіть групи та додайте користувачів (lusrmgr.msc)

Натисніть Win + R, введіть команду нижче та натисніть Enter, щоб відкрити локальні користувачі та групи:

lusrmgr.msc

Open the Groups folder, right-click in the empty area and choose New Group. Create Accounts-Full and click Add to put the full-access users inside it. Repeat the same way for Accounts-Read and add the view-only users. If a person does not have an account yet, create it first under the Users folder in the same window.

Надати спільний доступ до папки за допомогою розширеного спільного доступу

Натисніть папку правою кнопкою миші → Властивості → вкладка Спільний доступ → Розширений спільний доступ. Поставте прапорець Надати доступ до цієї папки та встановіть чітке ім’я спільного доступу — це ім’я, яке бачитимуть інші комп’ютери в мережі. У розширеному діалоговому вікні адміністратор надає спільний доступ до папки, оскільки воно надає окремий контроль над іменем спільного доступу, кількістю одночасних користувачів і дозволами спільного використання.

Додавання знака $ у кінці назви спільного ресурсу робить його прихованим: він не відображається, коли хтось переглядає ПК, і його можна відкрити, лише ввівши повний шлях.

Установіть дозволи спільного використання для груп

У розширеному спільному доступі натисніть кнопку Дозволи. Видаліть стандартний запис Усі, щоб папка не була відкритою для всієї мережі. Потім додайте дві групи: надайте Accounts-Full дозвіл Full Control і надайте Accounts-Read лише Read. Дозволи спільного доступу мають три рівні — читання, змінення та повний доступ — і вони застосовуються лише тоді, коли папку відкрито в мережі.

Установіть дозволи NTFS на вкладці «Безпека»

Тепер відкрийте вкладку Безпека у Властивості тієї ж папки та додайте туди ті самі дві групи. Надайте Accounts-Full Повний контроль. Надайте Accounts-Read тільки Read & Execute, List folder contents і Read — залиште «Змінити» та «Записати» не позначеними, інакше користувач «лише для читання» все одно зможе змінювати або видаляти файли. Дозволи NTFS — це стандартний список повного доступу, зміни, читання та виконання, списку вмісту папки, читання та запису, і вони захищають файли на самому диску — як для користувачів мережі, так і для будь-кого, хто сидить за цим ПК.

Якщо папка успадкувала записи з батьківської папки, які вам не потрібні, відкрийте Додатково на вкладці Безпека та скористайтеся функцією Вимкнути успадкування, щоб перетворити або видалити їх, а потім збережіть лише ті записи, які ви налаштували самостійно.

Перевірте справжній результат за допомогою ефективного доступу

Користувач, який відкриває папку через мережу, перевіряється обома рівнями, і перемагає результат із більшими обмеженнями. Отже, якщо дозвіл спільного доступу говорить про повний доступ, а дозвіл NTFS говорить про читання, користувач фактично отримує читання. Щоб підтвердити це, не гадаючи, відкрийте папку Властивості → Безпека → Додатково → вкладка Ефективний доступ, виберіть користувача, і Windows точно покаже, що цей користувач може, а що не може робити в папці.

Переглянути Прямий доступ у консолі спільних папок (fsmgmt.msc)

Коли користувачі почнуть використовувати спільний доступ, відкрийте консоль «Спільні папки», щоб керувати нею в режимі реального часу:

fsmgmt.msc

The Shares node lists every shared folder on the PC, Sessions shows which users are connected right now, and Open Files shows exactly which shared files are open at this moment. From here you can disconnect a user, close an open file or stop sharing a folder — the daily control panel of a shared-folder admin.

Увімкніть аудит, щоб побачити, хто відкрив або видалив файл (secpol.msc)

Дозволи контролюють, що можуть робити користувачі; аудит записує те, що вони насправді зробили. Спочатку ввімкніть аудит у локальній політиці безпеки:

secpol.msc

Go to Local Policies → Audit Policy → Audit object access and enable both Success and Failure. Then open the folder Properties → Security → Advanced → Auditing tab and add the groups, choosing the actions you want recorded, such as opening files or deleting them. From then on, access attempts on that folder are written to Event Viewer under Windows Logs → Security — look for event ID 4663 — so you can see which account opened or deleted a file, and when.

Auditing creates a lot of log entries, so enable it on important folders only, not on the whole drive.

Перевірте спільний доступ з іншого ПК

На другому комп’ютері в тій самій мережі натисніть Win + R або скористайтеся адресним рядком Провідника файлів і відкрийте спільний ресурс за його мережевим шляхом, наприклад \\PC-NAME\ShareName — ви також можете використовувати IP-адресу головного ПК замість його імені. Увійдіть за допомогою облікового запису користувача, який належить до однієї з двох груп.

Перевірте, як адміністратор: учасник Accounts-Read повинен мати можливість відкривати файли, але йому потрібно відмовити, коли він намагається зберегти зміни або видалити файл, а учасник Accounts-Full повинен мати можливість редагувати та видаляти звичайним чином. Якщо будь-який тест дає інший результат, ще раз перевірте членство цього користувача в групі та вкладку ефективного доступу з кроку 7, перш ніж змінювати будь-які дозволи.