Les autorisations NTFS (ACL) sur les fichiers et partage réseau de Windows

Lorsque vous devez partager un fichier, vous pouvez régler les autorisations.
Cela permet d’autoriser ou interdire l’accès à des fichiers ou dossiers spécifiques au sein d’un partage réseau.
On peut faire cela au niveau du partage ou sur les autorisations NTFS (ACL).
Ces derniers peuvent aussi être utilisées sur les disques locaux pour régler les autorisations au sein des comptes utilisateurs Windows.

Cet article résume le fonctionnement des autorisations NTFS et partage sur Windows.
Comment définir les autorisations dans les partages réseaux de Windows.
Comment autoriser ou interdire l’accès à un partage réseau, dossiers ou fichiers sur Windows.

Introduction

NTFS est devenu le système de fichiers par défaut depuis Windows 2000.
Ce système de fichiers met en place, par rapport à son ancêtre FAT, une journalisation du système de fichiers mais surtout permet de gérer des autorisations aux fichiers, ou encore compresser les dossiers.

Avec ces derniers vous définissez les accès aux fichiers ou dossiers pour chaque compte utilisateurs ou groupe utilisateurs.

Il existe donc les autorisations et permissions :

• Sur le partage réseau : L’utilisateur peut il accéder ou modifier le contenu du partage réseau.
• Dans les dossiers ou fichiers “Droit NTFS” ou ACL : les autorisations sur le dossier ou fichier.

Les autorisations sur les dossiers/fichiers ou partage

Windows permet d’affiner les permissions sur les fichiers ou dossiers.
Cela à travers les ACL.
Ainsi on peut définir des autorisations pour un compte utilisateur ou un groupe d’utilisateur.

Chaque fichier ou dossier du système de fichiers a un SD spécial (Security Descriptor). Chaque descripteur de sécurité contient deux listes de contrôle d’accès :

• System Access-Control List (SACL) – Géré par Windows et utilisé pour fournir l’audit de l’accès des objets du système de fichiers
• Discretionary Access-Control List (DACL) – contient un ACL (liste de contrôle d’accès) qui définit les autorisations d’accès d’un objet

L’ACL se compose de nombreuses entrées avec trois champs :

• SID de l’utilisateur ou du groupe auquel s’applique la règle d’accès
• Access type – Lire, écrire, exécuter, etc
• ACE type – Autoriser ou refuser

Concrètement pour l’administrateur, cela se traduit par un onglet Sécurité dans le propriétés d’un dossier ou fichier.
Ce dernier peut gérer les autorisations et permissions pour un utilisateur ou groupes d’utilisateurs :

Les types de permissions et ACL

Ces autorisations permettent d’interdire l’accès en lecture ou modification à certains fichiers ou dossiers à un utilisateur.
Dans un environnement monoposte, vous pouvez donc empêcher à un utilisateur d’accéder à l’un de vos répertoires.
Mais cela est vraiment intéressant dans le cas d’un réseau surtout pour les serveurs de fichiers. Il vous est alors possible d’interdire l’accès à certains fichiers à des utilisateurs sur vos partages réseaux.

Voici les autorisations possibles :

Lorsque l’utilisateur n’a pas l’autorisation en lecture, il obtient alors le message accès refusé lors de l’accès à un dossier.
Ainsi même au sein d’un ordinateur monoposte, on utilise ces autorisations pour interdire l’accès à des dossiers spécifiques.
Plus d’informations :

Modifier les permissions sur un dossier

Pour pouvoir modifier les permissions d’un dossier :

• Faites un clic droit sur le dossier
• Puis Propriétés
• Cliquez sur l’onglet Sécurité
• Dans la partie haute, vous pouvez visualiser la liste des utilisateurs ou groupes qui ont accès à ce fichier ou dossier
• En bas les autorisations pour l’utilisateur ou groupe sélectionné

Le bouton “Modifier” permet de modifier les permissions.
Vous pouvez alors modifier les permissions sur l’utilisateur/groupe ou ajouter un nouveau groupe/utilisateur à partir du bouton Ajouter ou en Supprimer.

Lorsque vous cliquez sur le bouton Ajouter, vous obtenez la fenêtre ci-dessous, vous devez alors saisir le nom d’utilisateur ou groupe, que vous souhaitez ajouter.

Par exemple, si vous saisissez Administrateurs, vous pourrez ajouter le groupe administrateurs.
Si vous tapez, “tout le monde”, vous ajoutez le groupe “Tout le monde”, n’importe quel utilisateur de n’importe quel ordinateur pourra alors manipuler les fichiers (selon les permissions sur le partage).

Onglet Avancé

• Le bouton Avancé ouvre les Paramètres de sécurité avancés, vous pouvez à nouveau modifier les permissions de manières beaucoup plus fines.
• Le bouton en bas Remplacer toutes les autorisations des objets enfants par des autorisations pouvant être héritées de cet objet permet de réattribuer toutes les permissions actuelles à tous les fichiers et sous-dossiers.

L’option “Inclure les autorisations pouvant être héritées du parent de cet objet” permet ne plus hérité des permissions du dossier parent.
Ainsi vous dissocier les permissions du dossier du parant afin de lui définir ses propres autorisations.

Onglet Audit

L’onglet Audit permet d’auditer les accès aux fichiers/dossiers.
L’onglet Propriétaires permet de changer le Propriétaires du dossier/fichiers.

Modifier les permissions et autorisations en ligne de commande (CACLS)

La commande CACLS permet de modifier les permissions en ligne de commandes.
Cette commande CALCS est disponible depuis Windows Vista.
Notez que vous devez démarrer l’invite de commandes en administrateur :

• Windows Vista/Seven : Dans le menu Démarrer, tapez invite et sur l’icône de l’invite de commandes clic droit puis ‘exécuté en tant qu’administrateur’
• Windows 8 / Windows 10 : Clic droit sur le menu Démarrer puis invite de commandes (admin)

Voici quelques exemples d’utilisation de la commande CACLs

Modifier les permissions en lecteure seule pour un fichier

CACLS monfichier.txt /E /G "Utilisateurs":R

Modifier accès complet sur un fichier pour le groupe utilisateurs :

CACLS monfichier.txt /E /G "Utilisateurs":F

Révoquer les permissions sur le groupe Utilisateurs :

CACLS myfile.txt /E /R "Utilisateurs"

Donne l’accès complet aux groupes Utilisateurs à un dossier et tous les sous-dossiers :

CACLS c:\dossier /E /T /C /G "FinanceUsers":F

Exemple pour donner l’accès au dossier System Volume Information pour l’utilisateur Vincent PC :

CACLS "C:\System Volume Information" /E /T /C /G "VincentPC":F

La commande CALCS ne permet de modifier le Propriétaire (owner), pour cela, vous devez utiliser la commande subinacl

"C:\Program Files\Windows Resource Kits\Tools\subinacl.exe" /subdirectories "C:\System Volume Information\" /setowner=VincentPC

La commande CALCS est remplacé sur les versions récentes de Windows par ICALCS :

Réinitialiser les permissions de fichiers par un clic droit

Il est possible d’ajouter un menu contextuel qui permet de réinitialiser les permissions de fichiers.
Ceci afin de pouvoir supprimer facilement un dossier qui n’auraient pas les bonnes permissions.

• Télécharger takeown_clic_droit.reg.zip
• Ouvrez le contenu du zip et double-cliquez sur le fichier REG à l’intérieur. Acceptez l’exécution et le contrôle de comptes.

Un menu “Réinitialiser les permissions” est maintenant disponible lors d’un clic droit sur un fichier ou dossier :

Ce menu permet de lancer la commande takeown pour devenir propriétaire des fichiers.

Comment modifier les autorisations d’un partage de dossier Windows

Le tutoriel suivant détaille le partage de dossier entre ordinateur sur Windows.

Voici comment modifier ou définir les autorisations d’un partage réseau sur Windows.

• Faites un clic droit sur le dossier
• Puis Partages
• Ensuite cliquez sur partage avancé
• En bas cliquez sur Autorisations
• Enfin vous arrivez sur la page des autorisations du partage

Pour autoriser un nouvel utilisateur ou groupe d’utilisateurs :

• Saisissez le nom puis cliquez sur Ajouter.
• Enfin définissez les autorisations.

Enfin le bouton Partage avancé permet de donner le nom du Partage et des autorisations avancées sur ce Partage.

• Le contrôle Total permet de modifier la configuration du Partage.
• Lecture/Modifier permet de modifier les fichiers du partage (selon les permissions NTFS – voir paragraphe suivant).