Перейти к содержимому
AD Academy
К темам
Повседневное администрирование AD
Начальный13 мин.Обновлено: Тема 2 из 4

Права NTFS против Share

Два уровня прав на общей папке — и как они пересекаются.

Не прочитано

Что вы узнаете

  • Разница между правами NTFS и Share
  • Как два слоя прав пересекаются
  • Как правильно настроить общую папку

Перед этой темой стоит прочитать:OU, группы и модель AGDLP

Когда пользователь обращается к папке по сети, проходят две проверки: права Share (на уровне общего доступа) и права NTFS (на уровне файловой системы). Результат — более ограничивающее право из двух.

  • Share = Full Control для соответствующей группы, а реальный контроль осуществляется через NTFS — это общепринятая практика.
  • NTFS: Read, Write, Modify, Full Control.
  • Inheritance — права наследуются от родительской папки; разрыв наследования создаёт исключения, которые трудно поддерживать.
New-SmbShare -Name "Finance" -Path "D:\Shares\Finance" -FullAccess "LAB\DL_FinanceShare_Modify"

$acl = Get-Acl "D:\Shares\Finance"
$rule = New-Object System.Security.AccessControl.FileSystemAccessRule(
  "LAB\DL_FinanceShare_Modify","Modify","ContainerInherit,ObjectInherit","None","Allow")
$acl.SetAccessRule($rule)
Set-Acl "D:\Shares\Finance" $acl
powershell
Архитектура и теория — под капотом

При сетевом доступе действует более ограничивающее разрешение из Share и NTFS. При локальном доступе Share вообще не актуален.

  • Принятый метод: Share = Everyone / Full Control, а реальный контроль в NTFS.
  • Deny всегда имеет приоритет над Allow.
  • Разрешения наследуются от папки, если только мы не отключили Inheritance.
Практическая настройка (PowerShell / GUI)
New-SmbShare -Name "Finance" -Path "D:\Finance" -FullAccess "Everyone"
icacls D:\Finance /grant "CORP\DL_Finance_RW:(OI)(CI)M"
icacls D:\Finance /inheritance:r
Get-SmbShareAccess -Name Finance
powershell
Диагностика и устранение неполадок
  • Access Denied, несмотря на разрешение — нужен Logoff/Logon для обновления токена с новыми группами.

Проверь себя

Пользователь получил Read на Share и Modify на NTFS. Что он реально получит по сети?

Эта страница вам помогла?

НазадДалее