Vi har gått igenom Active Directory, Group Policy, DNS, DHCP och PKI och certifikat. Nu kör vi NTFS-behörigheter — det system som avgör vem som får göra vad med filer och mappar.
Har du ett eget önskemål? Hör gärna av dig via kontaktsidan.
Föreställ dig ett kontorsbyggnad med hundratals rum. Alla anställda har en nyckel till entrén — men inte alla har nyckel till arkivet, chefernas kontor eller serverhallen. Vissa rum kan du gå in i och titta, men inte ta med dig något. I andra kan du hämta och lämna saker. Och i ditt eget rum har du full kontroll.
Precis så fungerar NTFS-behörigheter. NTFS — New Technology File System — är det filsystem som Windows använder, och det har ett sofistikerat system inbyggt för att styra exakt vad varje användare får göra med varje fil och mapp.
Varje fil och mapp i Windows har en åtkomstkontrollista — en ACL (Access Control List) — som listar exakt vilka användare och grupper som har tillgång, och vad de får göra. Denna lista kontrolleras av operativsystemet varje gång någon försöker öppna, ändra eller ta bort en fil.
Behörigheterna är kopplade till Active Directory-konton. Det är kombinationen av AD (vem du är) och NTFS (vad du får göra) som skapar ett komplett system för filhantering i företagsnätverk.
Den som har fullständig kontroll kan göra absolut allt: läsa, skriva, ändra, ta bort — och dessutom ändra behörigheterna för filen eller mappen. Det är IT-administratörens nivå. Ges restriktivt.
Kan läsa, skriva, ändra och ta bort filer. Men kan inte ändra behörigheterna i sig. Det är en vanlig nivå för mappar som en avdelning äger och hanterar aktivt.
Kan öppna och köra filer, men inte ändra eller ta bort dem. Typisk nivå för delade resurser där användare behöver ta del av innehåll men inte redigera det — t.ex. en mapp med mallar eller instruktioner.
Kan se och öppna filer, men inte köra program, skriva, ändra eller ta bort. Används för t.ex. arkivmappar eller känslig information som bara ska kunna granskas.
Kan skapa nya filer och skriva i befintliga — men inte nödvändigtvis läsa andras filer i mappen. Används sällan ensamt, men förekommer i t.ex. inlämningsboxar där alla kan lämna men inte se varandras material.
En uttrycklig neka slår alltid ut en tillåtelse — oavsett vad andra regler säger. Om du är med i en grupp som har läsbehörighet, men du personligen har fått "Neka: Läs", kan du inte läsa filen. Neka-regler används sparsamt och med stor försiktighet.
En av NTFS kraftfullaste — och mest förvirrande — egenskaper är arv. Behörigheter satta på en mapp ärvs automatiskt av alla undermappar och filer inuti. Det innebär att om du ger gruppen "Ekonomi" läsbehörighet på mappen \\server\Ekonomi, får de automatiskt läsbehörighet i alla undermappar.
Det går att bryta arvet för en specifik undermapp — t.ex. om lönemappen inuti Ekonomi-mappen bara ska vara tillgänglig för HR och chefer. Då kopierar man upp de ärvda behörigheterna, bryter länken och justerar manuellt.
En av de vanligaste misstagen i filserverhantering är att tilldela behörigheter direkt till enskilda användares konton. Det fungerar — men det skapar ett underhållsproblem. Vad händer när den anställde slutar? Eller när en ny person ska ha samma åtkomst?
Bästa praxis är att alltid tilldela NTFS-behörigheter till AD-grupper, aldrig till enskilda användare. Behöver en person tillgång? Lägg till dem i rätt grupp. Slutar de? Ta bort dem från gruppen. Mappen rör du aldrig.
Många organisationer använder en modell som kallas AGDLP: Account → Global group → Domain Local group → Permission. Det är ett strukturerat sätt att organisera grupper och behörigheter för att göra storskalig förvaltning hanterbar.
När en mapp delas ut över nätverket finns det faktiskt två lager av behörigheter: delningsbehörigheter (Share Permissions) och NTFS-behörigheter. De kontrollerar var sin sak.
Delningsbehörigheter styr vad som händer när du ansluter via nätverket — de är ett grovt filter. NTFS-behörigheter styr vad som händer med filen lokalt — de är ett fint filter. När du ansluter via nätverket tillämpas båda, och den mest restriktiva vinner.
I praktiken sätter många IT-administratörer delningsbehörigheten till "Alla: Fullständig kontroll" och låter NTFS-behörigheterna göra hela jobbet med precisionsstyrning. Det förenklar felsökning och underhåll.
NTFS-behörigheter är ett grundläggande verktyg för att implementera principen om minsta möjliga privilegium — att varje användare bara ska ha tillgång till exakt det de behöver för att göra sitt jobb, inget mer.
Det begränsar skadan vid säkerhetsincidenter. Om en anställds konto kapas av en angripare, kan angriparen bara komma åt det den anställde hade tillgång till. Om lönekontot komprometteras ska angriparen inte kunna nå produktionsdatabasen — för att lönekontot aldrig hade åtkomst till den.
Det är också NTFS-behörigheter som avgör hur långt ett ransomware-angrepp kan sprida sig. Har en dator tillgång att skriva till hela filservern krypteras hela filservern. Har den bara tillgång till en mapp krypteras bara den mappen.
// Sammanfattning — NTFS-behörigheter
- NTFS-behörigheter styr exakt vem som får göra vad med varje fil och mapp
- Nivåerna går från Fullständig kontroll till Neka — och Neka slår alltid
- Behörigheter ärvs nedåt i mappstrukturen och kan brytas manuellt vid behov
- Tilldela alltid behörigheter till AD-grupper, aldrig direkt till enskilda användare
- Share Permissions + NTFS Permissions = faktisk åtkomst — den restriktivaste vinner
- Välkonfigurerade behörigheter begränsar spridning vid ransomware och kontokapningar
NTFS-behörigheter är den tysta vakten bakom varje fil och mapp i en Windows-miljö. Rätt konfigurerade syns de aldrig — allt bara fungerar, alla har tillgång till det de behöver och ingenting mer. Fel konfigurerade skapar antingen frustrerade användare som inte kommer åt sina filer, eller säkerhetshål som kan kosta företaget enormt.
Och med det är vår serie om grundläggande IT-infrastruktur komplett. Från Active Directory och Group Policy till DNS, DHCP, PKI och NTFS — nu har du en solid bild av ryggraden i moderna företagsnätverk.