Remerciez-le!

Remerciez @Admin pour avoir partagé cet document gratuitement, de la manière la plus simple, en partageant sur les réseaux sociaux.

Lorsque l’on créé un partage NTFS, deux niveaux de permissions sont à déﬁnir :

Lorsque l’on créé un partage NTFS, deux niveaux de permissions sont à déﬁnir : ▪ Les permissions de partage (accès à la ressource partagée) ▪ Les permissions NTFS (accès aux données) Ces deux permissions sont indépendantes l’une de l’autre, c’est-à-dire qu’elles ne se modiﬁent pas réciproquement. En revanche, le droit d’accès à la ressource ﬁnale résulte de la combinaison de ces deux permissions. Permission de partage Les permissions de partage s’appliquent uniquement pour les partages réseaux et ne s’appliquent donc pas aux utilisateurs ayant un accès local au dossier (accès à l’explorateur de ﬁchiers sur le serveur de ﬁchiers, par exemple lors d’un accès à un bureau à distance). On peut les déﬁnir sur trois niveaux : Il est aussi important de comprendre la notion suivante: Chaque niveau d’autorisation contient une partie des autorisations de son parent. ▪ Lecture : voir les ﬁchiers et les dossiers, ouvrir un ﬁchier ou un dossier, exécuter un programme. ▪ Modiﬁcation : en plus des droits de lecture, ce droit donne également la possibilité d’ajouter des ﬁchiers, créer des dossiers, modiﬁer les ﬁchiers et de supprimer les ﬁchiers et les dossiers. ▪ Contrôle total : les droits de modiﬁcation et de lecture avec en plus la possibilité de modiﬁer les permissions NTFS sur les dossiers et les ﬁchiers. Pour faire court, la permission de partage est celle qui affecte le « browsing » de la ressource (\\LeNomDuServeur\LeNomDuPartage), j’ai pour habitude de mettre les partages en « modiﬁcations », sauf dans des cas bien précis ou un applicatif aurait besoin du contrôle total, mais ceci reste rarissime. Ce premier niveau de permission limite les droits de l’utilisateur, même si ceux-ci sont plus ouverts avec les permissions NTFS. Notez également que, par défaut, le groupe administrateur hérite du droit contrôle total et que le groupe tout le monde hérite du droit de lecture. Le droit de contrôle total ne devrait être donné qu’aux utilisateurs dont le rôle est d’administrer les droits NTFS, généralement celui des administrateurs systèmes. Le droit de modiﬁcation devrait être donné aux utilisateurs ayant pour objectifs d’alimenter le partage avec du contenu. Si vous rencontrez des problèmes d’écritures avec vos répertoires partagés, le meilleur moyen de vérifier s’il s’agit d’un problème de permissions de partage ou NTFS est de parcourir le partage avec le nom complet de la ressource (\ \LeNomDuServeur\C$\LeNomDuDossier) et de faire un test d’écriture par exemple. Permission NTFS Les permissions NTFS déﬁnissent les droits de l’utilisateur sur l’objet lui- même, que celui-ci soit accédé par le réseau (\\NomDeServeur) ou localement (C:\MaRessource). On peut les déﬁnir sur l’objet (droit explicite) ou bien par héritage de l’objet parent (schématiquement, on prend une pyramide, et les droits s’appliquent, de la pointe, vers la base) et lui attribuer une autorisation ou une interdiction, l’interdiction prévalant toujours sur l’autorisation et le droit explicite prévalant toujours sur le droit hérité. Par défaut, il existe six groupes de permissions NTFS prédéﬁni. Ces groupes de permissions correspondent en réalité au groupement de droits spéciaux ; on les utilise pour les droits « classiques », mais il est tout à fait possible d’assigner directement les droits spéciaux sur un objet : Attention, bien que le droit « Lister le contenu du dossier » semble identique à « Lire et exécuter », celui-ci ne s’applique qu’au dossier là où son pendant s’applique aux deux. Vous pouvez ainsi donner un droit « lecture » tout en permettant aux utilisateurs de continuer à accéder aux sous-dossiers. Les bonnes pratiques Lorsque les permissions se combinent, le droit de partage délimitera le droit NTFS. Un utilisateur qui accède à un ﬁchier sur lequel il possède le droit « contrôle total » mais dont le droit de partage ne lui accorde que le droit « lecture » ne pourra rien faire de plus que lire le ﬁchier. Le droit de partage fait ofﬁce de limiteur d’accès : en aucun cas ce droit ne viendra se substituer à un droit NTFS. Vous pouvez avoir un droit de partage « contrôle total », si le ﬁchier auquel vous accédez est en lecture seul, au niveau des permissions NTFS, il ne vous sera pas possible de le modiﬁer ou de le supprimer. Ci-après un résumé des bonnes pratiques à adopter lorsque vous gérez un serveur de ﬁchiers. ▪ Assigner les permissions à des groupes De cette manière, les droits sont déﬁnis une fois pour toute et il n’est plus nécessaire de les modiﬁer sur la ressource. L’administration est faite en ajoutant ou supprimant les utilisateurs du groupe. Pour interdire complétement l’accès de manière temporaire, conﬁgurer la permission « contrôle total » sur « refuser ». De la même manière, au quotidien, la gestion des groupes sera toujours plus « simple » qu’une gestion à l’utilisateur. ▪ Assigner le minimum de droit requis Cette stratégie vous évitera des accès non souhaités. Par exemple, si un utilisateur n’a pas besoin de modiﬁer les ﬁchiers, limitez son accès à la lecture. ▪ NTFS et Partage Pour limiter les droits, privilégiez les permissions NTFS lorsque l’utilisateur à un accès local à la ressource (connexion sur le serveur par exemple). Limiter les droits avec les permissions de partage n’est efﬁcace que pour une connexion réseau. ▪ Organiser les ressources Créer une arborescence permettant de regrouper les privilèges à attribuer. Si trois dossiers à partager ont un accès commun en lecture seule, par exemple, il est plus pertinent de ne créer qu’un dossier partagé commun à la racine sur lequel on donne le droit de lecture. Ce type de partage permet ensuite de limiter les accès en utilisant les permissions NTFS. ▪ Groupe « Tout le monde » Ne jamais déﬁnir une permission NTFS sur « refuser » pour le groupe « Tout le monde » : ce groupe contient les comptes ayant accès à la ressource et un droit refusé préemptant une approbation, cela provoquerait automatiquement un accès refusé à tous les utilisateurs (administrateurs compris…). ▪ Éviter de refuser explicitement un accès à une ressource Il vaut mieux gérer directement l’accès à la ressource en retirant le droit de l’utilisateur, plutôt que le lui interdisant explicitement. Par défaut, une absence de droit est une interdiction. ▪ Administration Le groupe « Administrateurs » devrait toujours avoir le contrôle total sur la ressource. Le groupe local du serveur de ﬁchier est sufﬁsant. D’autant plus que vous vous faciliterez la tâches le jours où vous souhaiterez migrer vos données d’un serveurs de ﬁchiers à un autre. ▪ Privilégier les noms courts En utilisant des noms courts, vous simpliﬁez le partage de l’information avec des ressources hétérogènes et permettez aux utilisateurs d’identiﬁer rapidement les ressources. Tout en sachant que les noms longs sont proscrits par Microsoft, certaines applications ne supportent pas les noms trop long. uploads/S4/ fiche-de-cours-droits-ntfs-et-partage.pdf