Windows Server 2025 / Cómo funcionan juntos los permisos de recurso compartido SMB y NTFS

Para acceder por red a un recurso Server Message Block (SMB), la operación debe estar permitida tanto por los permisos del recurso compartido como por los permisos del sistema de archivos NTFS (New Technology File System). Si el recurso solo permite Lectura, el usuario no podrá escribir aunque NTFS le conceda Modificar. Al acceder por la ruta local del servidor, se aplican los permisos NTFS, pero no los del recurso compartido.

Prepare una carpeta nueva y un grupo de usuarios normales

Prepare FS1 como servidor miembro de ad.example.test con el volumen NTFS D: de la práctica de discos y volúmenes. labuser1 debe pertenecer al grupo de seguridad GG_LabUsers y no ser administrador. Inicie sesión en FS1 con una cuenta autorizada para instalar roles y administrar la carpeta. Cree una carpeta nueva y vacía D:\LabShares\LabRead desde el Explorador; si ya existe o LabRead ya es un recurso compartido, deténgase y revise su uso antes de cambiarlo.

SMB permite compartir archivos por red. Utilice el nombre habitual del servidor y credenciales de dominio: \\fs1.ad.example.test\LabRead. Consulte la descripción oficial de SMB. En PowerShell elevado de FS1, el primer comando consulta el rol de servidor de archivos; ejecute el segundo únicamente si necesita instalarlo y revise que termine correctamente. Compruebe también el perfil Dominio y las reglas de entrada SMB pertinentes para la red aislada del laboratorio; no abra el servicio a Internet ni desactive el firewall.

Get-WindowsFeature FS-FileServer
Install-WindowsFeature FS-FileServer

Configure los permisos NTFS de lectura

1. En FS1, abra Propiedades de la carpeta nueva → Seguridad → Opciones avanzadas. Examine las entradas heredadas y guarde un registro de la configuración inicial.
2. Solo en esta carpeta vacía, seleccione Deshabilitar herencia y convierta las entradas heredadas en permisos explícitos. Convertirlas no las elimina: todavía debe revisar qué acceso conceden.
3. Conserve el Control total necesario para SYSTEM y los administradores. No quite las entradas que permiten gestionar y recuperar el acceso a la carpeta.
4. Revise las concesiones de Usuarios, Usuarios autenticados, Todos y cualquier otro grupo al que pertenezca labuser1. Retire o ajuste únicamente las concesiones innecesarias de esta carpeta del laboratorio para que no proporcionen escritura por otra vía.
5. Agregue AD\GG_LabUsers con Permitir: Lectura y ejecución, Mostrar el contenido de la carpeta y Lectura. En Se aplica a, use Esta carpeta, subcarpetas y archivos para esta práctica. Compruebe el grupo y guarde los cambios.

Este cambio de herencia se limita a la carpeta nueva y vacía del laboratorio: no lo aplique a un árbol de datos existente ni a la raíz de D:. Anote primero las entradas originales y su ámbito. Según el modelo de control de acceso de Windows, los grupos y la herencia influyen en los derechos. Mantenga una lista clara de permisos Permitir necesarios; no añada denegaciones para compensar concesiones amplias cuyo origen desconoce.

Cree el recurso compartido y compruebe ambas capas

1. Abra Propiedades → Compartir → Uso compartido avanzado, marque Compartir esta carpeta y establezca LabRead como nombre del recurso. Entre en Permisos.
2. Revise las entradas predeterminadas. Agregue AD\GG_LabUsers y conceda solo Lectura en el recurso; quite concesiones amplias que harían que el grupo de prueba recibiera Cambiar o Control total por otra pertenencia.
3. Conserve los derechos administrativos necesarios, sin conceder Control total a los usuarios normales. Confirme por separado los cambios del cuadro de permisos y del recurso compartido.
4. Registre el nombre LabRead, su ruta local, las entradas de permisos del recurso y las entradas NTFS como dos configuraciones distintas.

Get-SmbShare -Name 'LabRead' | Select-Object Name,Path
Get-SmbShareAccess -Name 'LabRead'
(Get-Acl -LiteralPath 'D:\LabShares\LabRead').Access | Select-Object IdentityReference,FileSystemRights,AccessControlType,IsInherited

Ejecute estas consultas en FS1. Name debe ser LabRead y Path la carpeta nueva; Get-SmbShareAccess debe mostrar a GG_LabUsers con Allow y Read en el recurso. La consulta de Get-Acl permite revisar identidades, derechos, Permitir/Denegar y herencia. Los parámetros de New-SmbShare configuran los permisos del recurso de forma independiente a las listas de control de acceso (ACL) del sistema de archivos: crear el recurso no establece automáticamente la ACL NTFS deseada.

La salida abreviada de Get-Acl no muestra aquí todos los detalles de propagación. Compruebe Se aplica a en Seguridad → Opciones avanzadas. Cuando cree readme.txt en el siguiente paso, revise también las entradas que recibe ese archivo. IsInherited en False indica una entrada explícita, no que sus derechos sean correctos. La consulta de permisos no sustituye la prueba real desde CLIENT1.

Pruebe el acceso real desde CLIENT1

1. Como administrador de FS1, cree readme.txt en la carpeta de prueba y escriba un contenido reconocible. Cierre el archivo antes de usarlo desde el cliente.
2. Inicie una sesión nueva en CLIENT1 como labuser1. Compruebe whoami y whoami /groups; confirme la identidad de dominio y la pertenencia a GG_LabUsers. Si acaba de cambiar el grupo, cierre la sesión y vuelva a iniciarla para renovar el token.
3. Abra \\fs1.ad.example.test\LabRead en el Explorador de CLIENT1 y lea readme.txt. Use este nombre de servidor durante toda la comparación.
4. Intente crear un archivo nuevo y guardar un cambio en readme.txt. La lectura debe funcionar y la escritura debe ser rechazada. Si puede escribir, vuelva a revisar los permisos de todos sus grupos y la identidad de la conexión antes de continuar.

No utilice una conexión SMB ya abierta como administrador para probar un usuario normal. Windows puede reutilizar credenciales para el mismo servidor. Revise las conexiones actuales, guarde el trabajo y cierre solo la conexión de esta prueba si necesita establecer una sesión nueva; no desconecte recursos ajenos. Si la carpeta no se abre, distinga resolución del nombre, conectividad SMB y autenticación de una denegación de acceso al archivo. No conceda Control total como solución general a cualquier fallo.

Compare una capa de permisos cada vez

Primero, cambie únicamente la entrada NTFS de AD\GG_LabUsers a Modificar, conservando el mismo ámbito de aplicación y la Lectura del recurso compartido. Guarde, vuelva a abrir el recurso con la identidad de prueba y confirme que crear o modificar archivos sigue fallando. Después cambie solo el permiso del recurso a Cambiar y pruebe crear un archivo pequeño, editarlo y eliminarlo. Anote el resultado de cada operación en cada estado. La tabla presupone estas concesiones simples: las pertenencias a otros grupos, denegaciones, herencia y ámbito pueden alterar los derechos efectivos; revise las entradas reales.

Al terminar, restaure el permiso del recurso de GG_LabUsers a Lectura y su entrada NTFS a los permisos iniciales de lectura y ejecución, listado y lectura, con el mismo ámbito. Pruebe otra vez que labuser1 puede leer readme.txt y no puede escribir. El administrador puede eliminar únicamente los archivos de prueba previstos por la ruta local autorizada, conservando la carpeta, el recurso y los registros para continuar el curso. Dejar de compartir una carpeta no equivale a borrar sus datos; no elimine archivos útiles ni grupos para deshacer la práctica.