Windows Server 2025 / Come funzionano insieme le condivisioni SMB e le autorizzazioni NTFS

L’accesso di rete tramite Server Message Block (SMB) richiede che l’operazione sia consentita sia dalle autorizzazioni di condivisione sia da quelle del file system NTFS (New Technology File System). Una condivisione con Lettura impedisce di scrivere anche se NTFS concede Modifica. Accedendo dal percorso locale del server, si applicano le autorizzazioni NTFS, ma non quelle di condivisione.

Prepara una nuova cartella e un gruppo di utenti normali

Prepara FS1 come server membro di ad.example.test con il volume NTFS D: dell’esercizio su dischi e volumi. labuser1 deve appartenere al gruppo di sicurezza GG_LabUsers e non essere amministratore. Accedi a FS1 con un account autorizzato a installare ruoli e gestire la cartella. In Esplora file crea una cartella nuova e vuota D:\LabShares\LabRead. Se la cartella o la condivisione LabRead esistono già, verificane l’uso prima di modificarle.

SMB consente di condividere file in rete. Usa il nome abituale del server e le credenziali di dominio: \\fs1.ad.example.test\LabRead. Consulta la panoramica ufficiale di SMB. In PowerShell con privilegi elevati su FS1, il primo comando verifica il ruolo File server. Esegui il secondo soltanto se occorre installarlo e controlla che l’operazione riesca. Verifica inoltre il profilo Dominio e le regole firewall SMB in ingresso pertinenti alla rete isolata del laboratorio; non esporre SMB a Internet e non disattivare il firewall.

Get-WindowsFeature FS-FileServer
Install-WindowsFeature FS-FileServer

Imposta le autorizzazioni NTFS di lettura

1. Su FS1 apri Proprietà della nuova cartella → Sicurezza → Avanzate. Esamina le voci ereditate e registra la configurazione iniziale.
2. Solo per questa cartella vuota, seleziona Disabilita ereditarietà e converti le autorizzazioni ereditate in voci esplicite. La conversione non elimina le autorizzazioni: devi ancora controllare quali diritti concedono.
3. Mantieni il Controllo completo necessario per SYSTEM e gli amministratori. Non rimuovere le voci richieste per gestire la cartella o recuperare l’accesso.
4. Controlla le concessioni a Utenti, Utenti autenticati, Everyone e agli altri gruppi di labuser1. Rimuovi o limita solo le concessioni non necessarie su questa cartella di laboratorio, evitando che l’utente riceva scrittura tramite un altro gruppo.
5. Aggiungi AD\GG_LabUsers con Consenti per Lettura ed esecuzione, Visualizzazione contenuto cartella e Lettura. Imposta l’ambito Applica a sulla cartella, le sottocartelle e i file per questo esercizio. Verifica il gruppo e salva.

Modifica l’ereditarietà solo per questa nuova cartella vuota, non per un albero di dati esistente o per la radice di D:. Registra prima le voci e il loro ambito. Il modello di controllo di accesso di Windows considera gruppi ed ereditarietà. Mantieni un insieme chiaro di autorizzazioni Consenti necessarie, senza aggiungere voci Nega per compensare concessioni ampie di cui non hai chiarito l’origine.

Crea la condivisione e controlla entrambi i livelli

1. Apri Proprietà → Condivisione → Condivisione avanzata, attiva Condividi la cartella e imposta LabRead come nome della condivisione. Apri Autorizzazioni.
2. Esamina le voci predefinite. Aggiungi AD\GG_LabUsers e concedi soltanto Lettura sulla condivisione. Rimuovi le concessioni ampie non necessarie che darebbero all’utente di prova Modifica o Controllo completo tramite altre appartenenze.
3. Conserva i diritti amministrativi necessari senza concedere Controllo completo agli utenti normali. Conferma le modifiche sia nella finestra delle autorizzazioni sia in quella della condivisione.
4. Registra LabRead, il percorso locale e le voci di condivisione e NTFS come due configurazioni distinte.

Get-SmbShare -Name 'LabRead' | Select-Object Name,Path
Get-SmbShareAccess -Name 'LabRead'
(Get-Acl -LiteralPath 'D:\LabShares\LabRead').Access | Select-Object IdentityReference,FileSystemRights,AccessControlType,IsInherited

Esegui queste query su FS1. Name deve indicare LabRead e Path la nuova cartella. Get-SmbShareAccess dovrebbe mostrare GG_LabUsers con Allow e Read sulla condivisione. Get-Acl permette di esaminare identità, diritti del file system, Consenti/Nega ed ereditarietà. I parametri di New-SmbShare gestiscono le autorizzazioni di condivisione separatamente dagli elenchi di controllo di accesso (Access Control List, ACL) del file system. Creare la condivisione non imposta automaticamente l’ACL NTFS desiderata.

L’output abbreviato di Get-Acl non mostra qui tutti i dettagli di propagazione. Controlla l’ambito Applica a in Sicurezza → Avanzate. Dopo aver creato readme.txt nella sezione successiva, verifica anche le voci ricevute dal file. IsInherited impostato su False indica una voce esplicita, non dimostra che le sue autorizzazioni siano corrette. Le query non sostituiscono la prova di accesso effettiva da CLIENT1.

Verifica l’accesso effettivo da CLIENT1

1. Come amministratore di FS1 crea readme.txt nella cartella di prova, scrivi un contenuto riconoscibile e chiudi il file prima di accedervi dal client.
2. Accedi a CLIENT1 con una nuova sessione come labuser1. Usa whoami e whoami /groups per verificare l’account di dominio e GG_LabUsers. Dopo una modifica recente dell’appartenenza al gruppo, disconnetti la sessione e accedi nuovamente per aggiornare il token di accesso.
3. Apri \\fs1.ad.example.test\LabRead in Esplora file su CLIENT1 e leggi readme.txt. Mantieni lo stesso nome del server per tutto il confronto.
4. Prova a creare un file nuovo e a salvare una modifica in readme.txt. La lettura deve riuscire, mentre la scrittura deve essere negata. Se riesci a scrivere, ricontrolla tutte le autorizzazioni dei gruppi e l’identità della connessione prima di continuare.

Non usare una connessione SMB già aperta come amministratore per verificare un utente normale. Windows può riutilizzare le credenziali dello stesso server. Esamina le connessioni, salva il lavoro e, se serve una nuova sessione, chiudi soltanto la connessione di questo esercizio; non scollegare condivisioni estranee. Se la cartella non si apre, distingui risoluzione del nome, raggiungibilità SMB e autenticazione da un’autorizzazione negata sul file. Concedere Controllo completo non risolve indistintamente ogni problema di accesso.

Confronta un livello di autorizzazione alla volta

Per prima cosa cambia soltanto la voce NTFS di AD\GG_LabUsers in Modifica, mantenendo lo stesso ambito e Lettura sulla condivisione. Salva, riapri la condivisione con l’identità di prova e verifica che creare o modificare file continui a fallire. Poi cambia soltanto l’autorizzazione della condivisione in Modifica e prova a creare, modificare ed eliminare un piccolo file. Registra il risultato di ogni operazione in ciascuno stato. La tabella presuppone concessioni semplici: altri gruppi, voci Nega, ereditarietà e ambito possono cambiare le autorizzazioni effettive. Esamina le ACL reali.

Al termine, ripristina Lettura sulla condivisione per GG_LabUsers e le autorizzazioni NTFS iniziali Lettura ed esecuzione, Visualizzazione contenuto cartella e Lettura, con lo stesso ambito. Verifica di nuovo che labuser1 possa leggere readme.txt senza scrivere. L’amministratore può rimuovere soltanto i file di prova previsti tramite il percorso locale autorizzato. Conserva cartella, condivisione e registrazioni per proseguire il corso. Interrompere la condivisione non elimina i dati della cartella: non cancellare file utili o gruppi utenti per annullare l’esercizio.