Windows Server 2025 / Wie SMB-Freigaben und NTFS-Berechtigungen zusammenarbeiten

Beim Netzwerkzugriff auf eine Freigabe über Server Message Block (SMB) müssen sowohl die Freigabe- als auch die Berechtigungen des Dateisystems NTFS (New Technology File System) den Vorgang erlauben. Eine Freigabe mit Lesen verhindert Schreibzugriffe auch dann, wenn NTFS Ändern gestattet. Beim Zugriff über den lokalen Dateipfad des Servers gelten NTFS-Rechte, aber keine Freigabeberechtigungen.

Bereiten Sie einen neuen Ordner und eine normale Benutzergruppe vor

FS1 muss als Mitgliedsserver zu ad.example.test gehören und über das NTFS-Datenvolume D: aus der Übung zu Datenträgern und Volumes verfügen. labuser1 ist Mitglied der Sicherheitsgruppe GG_LabUsers und kein Administrator. Melden Sie sich auf FS1 mit einem Konto an, das Rollen installieren und den Ordner verwalten darf. Erstellen Sie im Explorer den neuen, leeren Ordner D:\LabShares\LabRead. Existiert der Ordner oder die Freigabe LabRead bereits, klären Sie zuerst die bisherige Verwendung.

SMB ermöglicht Dateifreigaben im Netzwerk. Verwenden Sie durchgehend den üblichen Servernamen und Domänenanmeldeinformationen: \\fs1.ad.example.test\LabRead. Lesen Sie die offizielle SMB-Übersicht. In einer erhöhten PowerShell auf FS1 fragt der erste Befehl die Dateiserverrolle ab. Führen Sie den zweiten nur aus, wenn die Rolle installiert werden muss, und prüfen Sie den erfolgreichen Abschluss. Kontrollieren Sie außerdem das Domänenprofil und die passenden eingehenden SMB-Firewallregeln für das isolierte Labornetz. Geben Sie SMB nicht ins Internet frei und deaktivieren Sie nicht die Firewall.

Get-WindowsFeature FS-FileServer
Install-WindowsFeature FS-FileServer

Richten Sie NTFS-Leserechte ein

1. Öffnen Sie auf FS1 die Eigenschaften des neuen Ordners → Sicherheit → Erweitert. Prüfen Sie die geerbten Einträge und dokumentieren Sie die Ausgangskonfiguration.
2. Wählen Sie nur für diesen leeren Ordner Vererbung deaktivieren und wandeln Sie geerbte Berechtigungen in explizite Einträge um. Die Umwandlung entfernt keine Zugriffsrechte: Prüfen Sie anschließend jeden Eintrag.
3. Behalten Sie den erforderlichen Vollzugriff für SYSTEM und Administratoren bei. Entfernen Sie keine Einträge, die zur Verwaltung oder Wiederherstellung des Zugriffs benötigt werden.
4. Prüfen Sie Rechte für Benutzer, Authentifizierte Benutzer, Jeder und weitere Gruppen von labuser1. Entfernen oder begrenzen Sie ausschließlich unnötige Berechtigungseinträge in diesem Laborordner, damit das Konto nicht über eine andere Gruppe Schreibrechte erhält.
5. Fügen Sie AD\GG_LabUsers mit Zulassen für Lesen und Ausführen, Ordnerinhalt anzeigen und Lesen hinzu. Wählen Sie für diese Übung unter Gilt für: Diesen Ordner, Unterordner und Dateien. Kontrollieren Sie die Gruppe und speichern Sie.

Ändern Sie die Vererbung ausschließlich an diesem neuen, leeren Laborordner, nicht an einem vorhandenen Datenbaum oder am Stamm von D:. Dokumentieren Sie vorher die Einträge und ihren Geltungsbereich. Das Windows-Zugriffssteuerungsmodell berücksichtigt Gruppen und Vererbung. Verwenden Sie nachvollziehbare, erforderliche Zulassen-Einträge; ergänzen Sie nicht einfach Verweigerungen, um ungeklärte weitreichende Berechtigungen auszugleichen.

Erstellen Sie die Freigabe und prüfen Sie beide Ebenen

1. Öffnen Sie Eigenschaften → Freigabe → Erweiterte Freigabe, aktivieren Sie Diesen Ordner freigeben und verwenden Sie LabRead als Freigabenamen. Öffnen Sie Berechtigungen.
2. Prüfen Sie die Standardeinträge. Fügen Sie AD\GG_LabUsers hinzu und erlauben Sie auf der Freigabe nur Lesen. Entfernen Sie unnötige weitreichende Einträge, über die das Testkonto durch andere Gruppen Ändern oder Vollzugriff erhalten würde.
3. Erhalten Sie benötigte Administratorrechte, ohne normalen Benutzern Vollzugriff zu gewähren. Bestätigen Sie die Änderungen sowohl im Berechtigungsdialog als auch für die Freigabe.
4. Dokumentieren Sie LabRead, den lokalen Ordnerpfad und die Freigabe- sowie NTFS-Einträge als zwei getrennte Konfigurationen.

Get-SmbShare -Name 'LabRead' | Select-Object Name,Path
Get-SmbShareAccess -Name 'LabRead'
(Get-Acl -LiteralPath 'D:\LabShares\LabRead').Access | Select-Object IdentityReference,FileSystemRights,AccessControlType,IsInherited

Führen Sie diese Abfragen auf FS1 aus. Name muss LabRead und Path den neuen Ordner anzeigen. Get-SmbShareAccess sollte GG_LabUsers mit Allow und Read für die Freigabe ausgeben. Die Get-Acl-Abfrage zeigt Identitäten, Dateisystemrechte, Zulassen/Verweigern und den Vererbungsstatus. Die Parameter von New-SmbShare steuern Freigaberechte unabhängig von den Zugriffssteuerungslisten (Access Control Lists, ACLs) des Dateisystems. Das Erstellen einer Freigabe richtet deshalb nicht automatisch die gewünschte NTFS-ACL ein.

Die verkürzte Get-Acl-Ausgabe enthält hier nicht alle Angaben zur Weitergabe von Berechtigungen. Prüfen Sie Gilt für unter Sicherheit → Erweitert. Kontrollieren Sie später auch die Einträge von readme.txt, sobald Sie diese Datei im nächsten Abschnitt erstellt haben. IsInherited gleich False kennzeichnet einen expliziten Eintrag und bestätigt nicht, dass dessen Rechte richtig sind. Die Abfragen ersetzen den tatsächlichen Zugriffstest von CLIENT1 nicht.

Testen Sie den tatsächlichen Zugriff von CLIENT1

1. Erstellen Sie als Administrator auf FS1 die Datei readme.txt im Testordner, schreiben Sie einen erkennbaren Text hinein und schließen Sie die Datei vor dem Clienttest.
2. Melden Sie sich auf CLIENT1 neu als labuser1 an. Prüfen Sie whoami und whoami /groups auf das richtige Domänenkonto und GG_LabUsers. Nach einer neuen Gruppenmitgliedschaft müssen Sie sich ab- und wieder anmelden, damit der Zugriffstoken aktualisiert wird.
3. Öffnen Sie \\fs1.ad.example.test\LabRead im Explorer von CLIENT1 und lesen Sie readme.txt. Verwenden Sie während des gesamten Vergleichs denselben Servernamen.
4. Versuchen Sie, eine neue Datei zu erstellen und eine Änderung an readme.txt zu speichern. Lesen muss funktionieren, Schreiben muss verweigert werden. Gelingt ein Schreibzugriff, prüfen Sie vor dem Fortfahren sämtliche Gruppenrechte und die Identität der SMB-Verbindung.

Verwenden Sie eine bereits als Administrator aufgebaute SMB-Verbindung nicht als Test eines normalen Benutzers. Windows kann für denselben Server vorhandene Anmeldeinformationen wiederverwenden. Prüfen Sie die Verbindungen, speichern Sie Ihre Arbeit und schließen Sie bei Bedarf nur die Verbindung dieser Übung, bevor Sie sie neu aufbauen. Trennen Sie keine fremden Freigaben. Öffnet sich der Ordner nicht, unterscheiden Sie Namensauflösung, SMB-Erreichbarkeit und Anmeldung von einer Zugriffsverweigerung auf die Datei. Vollzugriff ist keine allgemeine Lösung für jeden Verbindungsfehler.

Vergleichen Sie jeweils nur eine Berechtigungsebene

Ändern Sie zuerst nur den NTFS-Eintrag von AD\GG_LabUsers auf Ändern und behalten Sie dessen Geltungsbereich sowie Lesen auf der Freigabe bei. Speichern Sie die Änderung und öffnen Sie die Freigabe erneut mit dem Testkonto: Erstellen oder Bearbeiten muss weiterhin scheitern. Erlauben Sie danach nur auf Freigabeebene Ändern und testen Sie das Erstellen, Bearbeiten und Löschen einer kleinen Testdatei. Notieren Sie jeden Vorgang für jeden Zustand. Die Tabelle setzt einfache, eindeutige Berechtigungen voraus; weitere Gruppenmitgliedschaften, Verweigerungen, Vererbung und Geltungsbereiche beeinflussen die tatsächlich wirksamen Rechte.

Stellen Sie abschließend für GG_LabUsers die Freigabe wieder auf Lesen und den NTFS-Eintrag auf die ursprünglichen Rechte Lesen und Ausführen, Ordnerinhalt anzeigen und Lesen mit demselben Geltungsbereich zurück. Prüfen Sie erneut, dass labuser1 readme.txt lesen, aber nicht schreiben kann. Als Administrator können Sie ausschließlich die vorgesehenen Testdateien über den berechtigten lokalen Pfad aufräumen. Bewahren Sie Ordner, Freigabe und Aufzeichnungen für weitere Übungen auf. Eine Freigabe aufzuheben löscht nicht die Ordnerdaten; entfernen Sie zum Rückgängigmachen weder wichtige Dateien noch Benutzergruppen.