Windows Server 2025 / Entender permissões de compartilhamento SMB e NTFS

Para acessar uma pasta compartilhada pela rede, o usuário precisa atender tanto às permissões do compartilhamento Server Message Block (SMB) quanto às permissões do sistema de arquivos NTFS. A permissão Leitura no compartilhamento impede a gravação pela rede mesmo quando NTFS permite Modificar. O acesso direto pelo caminho local do servidor não passa pela verificação das permissões do compartilhamento.

Preparar uma pasta nova e um grupo de usuários

O FS1 é membro do domínio ad.example.test e contém o volume NTFS D: criado na aula anterior. A conta labuser1 pertence ao grupo GG_LabUsers. Crie uma pasta vazia D:\LabShares\LabRead em vez de alterar uma pasta em uso.

O SMB fornece acesso a arquivos pela rede. No cliente, use o caminho UNC \\fs1.ad.example.test\LabRead com uma conta de domínio. Consulte a visão geral do SMB da Microsoft. No FS1, confira se a função Servidor de Arquivos está presente e se o firewall permite o tráfego necessário no perfil correto; execute a instalação apenas se a função estiver ausente:

Get-WindowsFeature FS-FileServer
Install-WindowsFeature FS-FileServer

Definir leitura nas permissões NTFS

1. Abra Propriedades da nova pasta → Segurança → Avançado e examine as permissões herdadas.
2. Somente nessa pasta de laboratório ainda vazia, desabilite a herança e converta as entradas herdadas em explícitas.
3. Preserve o Controle Total necessário para SYSTEM e administradores.
4. Examine as permissões amplas de Usuários, Usuários Autenticados ou Todos e ajuste somente esta pasta.
5. Conceda a AD\GG_LabUsers Ler e executar, Listar conteúdo da pasta e Ler, conferindo o escopo nos itens filhos. Confirme antes que AD é o nome NetBIOS do domínio.

Não aplique essa mudança de herança a uma árvore de dados existente. Prefira permissões explícitas e restritas a várias entradas de negação usadas para compensar concessões amplas mal compreendidas.

Criar o compartilhamento e examinar as duas camadas

1. Em Propriedades → Compartilhamento → Compartilhamento Avançado, compartilhe a pasta como LabRead.
2. Examine as entradas padrão do compartilhamento e conceda ao GG_LabUsers apenas Leitura.
3. Preserve as permissões administrativas necessárias sem dar Controle Total aos usuários comuns.
4. Registre separadamente o nome do compartilhamento, caminho da pasta, permissões do compartilhamento e entradas NTFS.

Get-SmbShare -Name 'LabRead' | Select-Object Name,Path
Get-SmbShareAccess -Name 'LabRead'
(Get-Acl -LiteralPath 'D:\LabShares\LabRead').Access | Select-Object IdentityReference,FileSystemRights,AccessControlType,IsInherited

Execute esses comandos no FS1. Os parâmetros de New-SmbShare controlam o acesso ao compartilhamento separadamente da lista de controle de acesso (ACL) NTFS. Criar um compartilhamento não configura automaticamente as permissões NTFS desejadas.

Testar o acesso real a partir do CLIENT1

1. Como administrador do FS1, crie readme.txt na pasta nova.
2. Abra uma nova sessão no CLIENT1 com labuser1 e confira a identidade e os grupos com whoami e whoami /groups.
3. Abra \\fs1.ad.example.test\LabRead e leia o arquivo de teste.
4. Tente criar ou modificar um arquivo e confirme que o acesso somente leitura impede a gravação.

Não teste a conta comum por meio de uma conexão SMB já aberta com um administrador. O Windows pode reutilizar credenciais para o mesmo servidor: confira as conexões existentes, salve o trabalho em andamento e feche apenas a conexão que interfere no teste.

Comparar uma camada de permissão por vez

Primeiro, passe GG_LabUsers para Modificar somente no NTFS, mantendo Leitura no compartilhamento: a gravação pela rede ainda deve falhar. Depois permita Alterar no compartilhamento e teste criar, editar e excluir um arquivo pequeno. O resultado real também depende dos grupos, das entradas de negação, da herança e do escopo; examine as ACLs efetivas.

Restaure Leitura para GG_LabUsers nas duas camadas e repita o teste. Remova apenas os arquivos criados para o exercício por um caminho local autorizado. Remover o compartilhamento e excluir os dados da pasta são operações diferentes; mantenha o compartilhamento e as anotações se continuar o curso.