Windows Server 2025 / Cara kerja izin berbagi SMB dan izin NTFS

Akses jaringan melalui Server Message Block (SMB) harus diizinkan oleh izin berbagi dan izin sistem file NTFS (New Technology File System). Jika izin berbagi hanya Read (baca), pengguna tetap tidak dapat menulis meskipun izin NTFS memberinya Modify (ubah). Akses melalui jalur lokal pada server menggunakan izin NTFS, tetapi tidak melewati pemeriksaan izin berbagi.

Siapkan folder baru dan grup pengguna biasa

Siapkan FS1 sebagai server anggota ad.example.test dengan volume NTFS D: dari latihan disk dan volume. labuser1 harus menjadi anggota grup keamanan GG_LabUsers dan bukan administrator. Masuk ke FS1 memakai akun yang berwenang memasang peran serta mengelola folder. Buat folder baru yang kosong D:\LabShares\LabRead melalui File Explorer. Jika folder atau nama berbagi LabRead sudah ada, periksa penggunaannya dahulu sebelum melakukan perubahan.

SMB menyediakan berbagi file melalui jaringan. Gunakan nama server yang biasa dipakai beserta kredensial domain: \\fs1.ad.example.test\LabRead. Baca penjelasan resmi SMB. Pada PowerShell dengan hak administrator di FS1, perintah pertama memeriksa peran server file. Jalankan perintah kedua hanya jika peran perlu dipasang dan pastikan pemasangannya berhasil. Periksa pula profil Domain dan aturan masuk SMB yang sesuai untuk jaringan lab terisolasi; jangan membuka SMB ke Internet atau mematikan firewall.

Get-WindowsFeature FS-FileServer
Install-WindowsFeature FS-FileServer

Tetapkan izin baca NTFS

1. Di FS1, buka Properties folder baru → Security → Advanced. Periksa entri yang diwarisi dan catat konfigurasi awal.
2. Hanya pada folder kosong ini, pilih Disable inheritance dan ubah izin yang diwarisi menjadi entri eksplisit. Konversi tidak menghapus izin tersebut; Anda tetap harus memeriksa akses yang diberikannya.
3. Pertahankan Full Control yang diperlukan oleh SYSTEM dan administrator. Jangan menghapus entri yang dibutuhkan untuk mengelola folder atau memulihkan akses.
4. Periksa izin Users, Authenticated Users, Everyone, serta grup lain yang diikuti labuser1. Hapus atau batasi hanya pemberian izin yang tidak diperlukan pada folder lab ini agar pengguna tidak memperoleh hak tulis dari grup lain.
5. Tambahkan AD\GG_LabUsers dengan Allow untuk Read & execute, List folder contents, dan Read. Pada Applies to, pilih This folder, subfolders and files untuk latihan ini. Pastikan grup yang dipilih benar, lalu simpan.

Ubah pewarisan hanya pada folder lab baru yang kosong ini, bukan pada pohon data yang sudah ada atau akar D:. Catat entri awal dan cakupannya. Model kontrol akses Windows memperhitungkan grup dan pewarisan. Gunakan entri Allow yang jelas dan memang dibutuhkan; jangan menambahkan banyak entri Deny untuk menutupi pemberian izin luas yang asalnya belum dipahami.

Bagikan folder dan periksa kedua lapisan izin

1. Buka Properties → Sharing → Advanced Sharing, aktifkan Share this folder, dan tetapkan nama LabRead. Buka Permissions.
2. Periksa entri default. Tambahkan AD\GG_LabUsers dan berikan hanya Read pada izin berbagi. Singkirkan pemberian izin luas yang tidak diperlukan apabila keanggotaan lain dapat memberi pengguna uji Change atau Full Control.
3. Pertahankan hak pengelolaan administrator yang dibutuhkan tanpa memberikan Full Control kepada pengguna biasa. Konfirmasikan perubahan pada dialog izin dan konfigurasi berbagi.
4. Catat LabRead, jalur folder lokal, entri izin berbagi, dan entri NTFS sebagai dua konfigurasi terpisah.

Get-SmbShare -Name 'LabRead' | Select-Object Name,Path
Get-SmbShareAccess -Name 'LabRead'
(Get-Acl -LiteralPath 'D:\LabShares\LabRead').Access | Select-Object IdentityReference,FileSystemRights,AccessControlType,IsInherited

Jalankan kueri ini pada FS1. Name harus menunjukkan LabRead dan Path harus menunjuk folder baru. Get-SmbShareAccess seharusnya menampilkan GG_LabUsers dengan Allow dan Read pada izin berbagi. Get-Acl menampilkan identitas, hak sistem file, Allow/Deny, dan status pewarisan. Parameter New-SmbShare mengatur izin berbagi secara terpisah dari daftar kontrol akses (Access Control List, ACL) sistem file. Membagikan folder tidak otomatis menetapkan ACL NTFS yang diinginkan.

Keluaran Get-Acl yang dipersingkat ini tidak menampilkan seluruh rincian penerusan izin. Periksa Applies to pada Security → Advanced. Setelah membuat readme.txt pada bagian berikutnya, periksa juga entri izin yang diterima file itu. IsInherited bernilai False berarti entri tersebut eksplisit, bukan bukti bahwa haknya sudah tepat. Kueri izin tidak menggantikan pengujian akses sebenarnya dari CLIENT1.

Uji akses sebenarnya dari CLIENT1

1. Sebagai administrator FS1, buat readme.txt dalam folder uji dan tuliskan isi yang mudah dikenali. Tutup file sebelum mengaksesnya dari klien.
2. Masuk ke CLIENT1 dalam sesi baru sebagai labuser1. Periksa whoami dan whoami /groups untuk memastikan akun domain dan GG_LabUsers. Jika keanggotaan grup baru saja diubah, keluar lalu masuk kembali agar token akses diperbarui.
3. Buka \\fs1.ad.example.test\LabRead melalui File Explorer di CLIENT1 dan baca readme.txt. Gunakan nama server yang sama sepanjang perbandingan.
4. Coba membuat file baru dan menyimpan perubahan pada readme.txt. Membaca harus berhasil, sedangkan menulis harus ditolak. Jika dapat menulis, periksa kembali seluruh izin grup serta identitas koneksi sebelum melanjutkan.

Jangan menguji pengguna biasa dengan koneksi SMB yang sebelumnya dibuka sebagai administrator. Windows dapat memakai kembali kredensial untuk server yang sama. Periksa koneksi, simpan pekerjaan, lalu tutup hanya koneksi latihan ini bila perlu membuat sesi baru; jangan memutus koneksi berbagi lain. Jika folder tidak terbuka, bedakan kegagalan resolusi nama, konektivitas SMB, dan autentikasi dari penolakan izin file. Memberi Full Control bukan penyelesaian umum untuk semua kegagalan akses.

Bandingkan satu lapisan izin setiap kali

Pertama, ubah hanya entri NTFS AD\GG_LabUsers menjadi Modify dengan cakupan yang sama, sementara izin berbagi tetap Read. Simpan perubahan, buka kembali folder bersama memakai identitas uji, lalu pastikan pembuatan atau perubahan file masih ditolak. Berikutnya, ubah hanya izin berbagi menjadi Change dan uji membuat, mengedit, serta menghapus file kecil. Catat hasil setiap operasi pada setiap keadaan. Tabel mengasumsikan pemberian izin sederhana; keanggotaan grup lain, entri Deny, pewarisan, dan cakupan dapat mengubah hak efektif. Periksa ACL sebenarnya.

Setelah selesai, kembalikan izin berbagi GG_LabUsers ke Read dan entri NTFS ke Read & execute, List folder contents, serta Read dengan cakupan awal. Uji lagi bahwa labuser1 dapat membaca readme.txt tetapi tidak dapat menulis. Administrator dapat membersihkan hanya file uji yang memang dibuat untuk latihan melalui jalur lokal yang sah. Pertahankan folder, konfigurasi berbagi, dan catatan untuk latihan selanjutnya. Menghentikan berbagi folder berbeda dari menghapus isinya; jangan menghapus file penting atau grup pengguna untuk membatalkan latihan.