Permissions NTFS et de partage : calculer les droits effectifs

Un dossier partagé sous Windows est protégé par deux couches d'autorisations : les permissions de partage, vérifiées quand on accède au dossier par le réseau, et les permissions NTFS, attachées au dossier lui-même sur le disque. Ce chapitre explique chaque couche, l'héritage, le cumul des autorisations et la priorité des refus, puis la règle qui combine les deux couches. Il montre comment créer un partage proprement, en PowerShell, et se termine par des calculs de droits effectifs comme on en trouve à l'examen.

NTFS, le système de fichiers des serveurs Windows

NTFS est le système de fichiers des volumes Windows. Il stocke pour chaque fichier et chaque dossier une liste de contrôle d'accès (ACL), faite d'entrées (ACE) : « tel compte ou groupe, autorisé ou refusé, pour tels droits ». Il gère aussi le propriétaire de chaque objet, l'audit des accès, les quotas, la compression et le chiffrement de fichiers (EFS).

Windows Server propose aussi ReFS, conçu pour les gros volumes de données et la virtualisation (vérification d'intégrité, réparation automatique avec les espaces de stockage). Les autorisations y fonctionnent comme en NTFS. Pour un serveur de fichiers de PME, NTFS reste le choix courant.

Les autorisations NTFS standard

L'onglet Sécurité des propriétés d'un dossier affiche six autorisations standard. Chacune est une combinaison d'autorisations avancées.

Deux remarques qui évitent bien des erreurs :

• Modification contient le droit de supprimer, et Écriture ne le contient pas. Un utilisateur avec Lecture et Écriture peut créer et modifier des fichiers, mais pas les supprimer ;
• Contrôle total permet de modifier les autorisations : un utilisateur qui l'a peut retirer l'accès aux autres, y compris aux administrateurs. On ne le donne qu'aux administrateurs et au système.

Les autorisations avancées (bouton Avancé) sont les briques : parcourir le dossier, lister le dossier, lire les attributs, créer des fichiers, créer des dossiers, supprimer, lire les autorisations, modifier les autorisations, appropriation, etc. On les utilise pour des besoins précis, comme le dossier racine des redirections de dossiers (chapitre 5).

L'héritage

Par défaut, un sous-dossier ou un fichier hérite des autorisations de son dossier parent : les entrées héritées apparaissent grisées. On définit ainsi les droits une fois, en haut de l'arborescence.

Chaque entrée a une portée, visible dans les paramètres avancés : « Ce dossier, les sous-dossiers et les fichiers » (le cas courant), « Ce dossier seulement », « Les sous-dossiers et les fichiers seulement »…

Désactiver l'héritage sur un dossier (bouton Désactiver l'héritage des paramètres avancés) coupe le lien avec le parent. Windows propose alors deux choix :

• convertir les autorisations héritées en autorisations explicites : on garde une copie, qu'on modifie ensuite ;
• supprimer toutes les autorisations héritées : on repart de zéro, en veillant à remettre les administrateurs et le système.

On désactive l'héritage à la racine de chaque partage, pour y poser exactement les groupes voulus, et on évite de le désactiver plus bas : une arborescence où chaque sous-dossier a ses propres autorisations devient impossible à auditer.

Copier ou déplacer un fichier ne produit pas le même résultat. Une copie est un nouveau fichier : il hérite des autorisations du dossier de destination. Un déplacement sur le même volume garde les autorisations d'origine. Un fichier confidentiel déplacé dans un dossier commun peut donc rester inaccessible, et inversement, un fichier ouvert à tous déplacé dans un dossier restreint peut rester lisible par tous : en cas de doute, réapplique l'héritage.

Cumul des autorisations et priorité des refus

Un utilisateur reçoit des autorisations par son compte et par tous ses groupes. Les règles de calcul :

1. Les autorisations se cumulent. Lecture par un groupe et Modification par un autre donnent Modification.
2. Un refus l'emporte sur une autorisation de même niveau. Un refus explicite de Lecture par un groupe annule les autorisations explicites de lecture venues d'autres groupes.
3. Une autorisation explicite l'emporte sur un refus hérité. Windows lit les entrées dans un ordre fixe, l'ordre canonique : refus explicites, autorisations explicites, refus hérités (du parent le plus proche au plus lointain), autorisations héritées. Dès qu'un droit est accordé ou refusé, la décision est prise pour ce droit.
4. Sans aucune entrée qui l'autorise, l'accès est refusé : c'est le refus implicite. Pas besoin d'écrire un refus pour interdire.

Le propriétaire. Chaque objet a un propriétaire (le créateur, par défaut), qui peut toujours modifier ses autorisations. Un administrateur peut prendre possession d'un dossier (paramètres avancés > Propriétaire > Modifier) pour récupérer l'accès à un dossier verrouillé par un utilisateur. L'identité spéciale CREATOR OWNER (propriétaire créateur) donne des droits à celui qui crée un fichier, sur ce qu'il a créé.

L'accès effectif. Les paramètres avancés ont un onglet Accès effectif : choisis un utilisateur, et Windows calcule ses droits NTFS réels sur le dossier, groupes compris. Selon la façon dont tu l'ouvres, il ne tient pas toujours compte des permissions de partage : vérifie cette couche à part. C'est l'outil à utiliser avant de répondre « tu as bien les droits » à un utilisateur.

Les permissions de partage

Un dossier devient accessible par le réseau quand on le partage : il reçoit un nom de partage et un chemin UNC, \\srv-fichiers\Compta. Les permissions de partage sont plus simples que les NTFS :

Elles se cumulent entre groupes et un refus l'emporte, comme en NTFS, mais elles n'ont ni héritage ni granularité : elles valent pour tout le partage.

La règle de combinaison : le plus restrictif l'emporte

Quand un utilisateur accède à un dossier par le réseau, Windows calcule séparément :

1. ses droits effectifs de partage (cumul de ses groupes, moins les refus) ;
2. ses droits effectifs NTFS sur l'objet visé (cumul, ordre canonique) ;

puis il retient le plus restrictif des deux. Partage en Contrôle total et NTFS en Lecture donnent Lecture ; partage en Lecture et NTFS en Modification donnent Lecture aussi.

La bonne pratique découle de cette règle : on règle le partage largement (Contrôle total ou Modifier pour les Utilisateurs authentifiés) et on fait tout le tri avec NTFS. Il n'y a ainsi qu'un seul endroit où lire les droits, et l'onglet Accès effectif donne directement la réponse. Les deux couches ne servent à rien si on les contredit l'une l'autre.

Créer un partage proprement

Pour le partage Compta de Sorbier, sur srv-fichiers, avec les groupes conçus au chapitre 3 :

1. créer le dossier sur un volume de données, pas sur C: : D:\Partages\Compta ;
2. désactiver l'héritage et ne garder que : Administrateurs et Système en Contrôle total, DL_Compta_M en Modification, DL_Compta_L en Lecture et exécution ;
3. partager le dossier sous le nom Compta, avec Utilisateurs authentifiés en Contrôle total et l'énumération basée sur l'accès activée.

En ligne de commande, icacls règle les autorisations NTFS. Les groupes intégrés y sont désignés par leur SID, précédé d'un astérisque, pour que la commande marche quelle que soit la langue du système (« Administrateurs » en français, « Administrators » en anglais) :

New-Item -Path "D:\Partages\Compta" -ItemType Directory

# /inheritance:r supprime l'héritage et les entrées héritées
# (OI)(CI) = s'applique aux fichiers et aux sous-dossiers ; F = contrôle total, M = modification, RX = lecture et exécution
icacls "D:\Partages\Compta" /inheritance:r `
    /grant "*S-1-5-32-544:(OI)(CI)F" "*S-1-5-18:(OI)(CI)F" `
    /grant "SORBIER\DL_Compta_M:(OI)(CI)M" "SORBIER\DL_Compta_L:(OI)(CI)RX"

# Le partage, avec l'énumération basée sur l'accès
New-SmbShare -Name "Compta" -Path "D:\Partages\Compta" -FullAccess "Utilisateurs authentifiés" `
    -FolderEnumerationMode AccessBased -Description "Comptabilité (droits gérés par NTFS)"

# Vérifier
icacls "D:\Partages\Compta"
Get-SmbShareAccess -Name "Compta"

S-1-5-32-544 est le groupe local Administrateurs et S-1-5-18 le compte Système. Le nom Utilisateurs authentifiés dépend lui aussi de la langue du serveur (Authenticated Users sur un système en anglais).

L'énumération basée sur l'accès (ABE) masque, dans le partage, les dossiers et fichiers que l'utilisateur n'a pas le droit de lire : chacun ne voit que ce qui le concerne. Elle ne protège rien de plus, puisque NTFS refuse déjà l'accès, mais elle évite les questions et les tentatives.

En PowerShell pur, Get-Acl et Set-Acl manipulent les ACL comme des objets .NET : c'est plus long à écrire, mais utile dans les scripts qui doivent lire et comparer des autorisations ((Get-Acl "D:\Partages\Compta").Access | Format-Table IdentityReference, FileSystemRights, AccessControlType, IsInherited).

Partages cachés et partages administratifs

Un partage dont le nom se termine par $ (Logiciels$, Profils$) n'apparaît pas dans la liste des partages d'un serveur : il faut connaître son nom. C'est un confort, pas une protection : les permissions font la sécurité.

Windows crée seul des partages administratifs : C$, D$ (la racine de chaque volume), ADMIN$ (le dossier Windows), IPC$ (communication entre processus), plus SYSVOL et NETLOGON sur les contrôleurs de domaine. Seuls les administrateurs accèdent aux trois premiers. Un attaquant qui obtient un compte administrateur s'en sert pour se déplacer de machine en machine : c'est une raison de plus pour que le mot de passe de l'administrateur local soit différent sur chaque poste (Windows LAPS).

SMB : versions et sécurité

Les partages Windows utilisent le protocole SMB, sur le port TCP 445.

Les réglages de sécurité utiles :

• la signature SMB protège l'intégrité des échanges contre la modification en transit et les attaques par relais. Windows Server 2025 et Windows 11 24H2 l'exigent par défaut pour toutes les connexions SMB sortantes ; elle était déjà exigée vers SYSVOL et NETLOGON ;
• le chiffrement SMB se demande par partage (Set-SmbShare -Name "Paie" -EncryptData $true) ou pour tout le serveur, pour les données sensibles qui traversent le réseau ;
• SMB sur QUIC (port UDP 443, chiffré par TLS 1.3) permet d'accéder à un serveur de fichiers depuis Internet sans VPN ; Windows Server 2025 le propose dans les éditions Standard et Datacenter ;
• le limiteur d'authentification de Windows Server 2025 ralentit les tentatives de connexion échouées, ce qui freine les attaques par force brute contre les partages.

Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol, RequireSecuritySignature, EncryptData
Get-SmbSession    # qui est connecté au serveur, avec quelle version de SMB

Exercices

New-Item -Path "D:\Partages\Paie" -ItemType Directory
icacls "D:\Partages\Paie" /inheritance:r `
    /grant "*S-1-5-32-544:(OI)(CI)F" "*S-1-5-18:(OI)(CI)F" `
    /grant "SORBIER\DL_Paie_M:(OI)(CI)M" "SORBIER\DL_Paie_L:(OI)(CI)RX"
New-SmbShare -Name "Paie$" -Path "D:\Partages\Paie" -FullAccess "Utilisateurs authentifiés" `
    -FolderEnumerationMode AccessBased -EncryptData $true