# Windows Server 2025 SMB 共享：不用 Everyone 的共享与 NTFS 权限

> 在 Windows Server 2025 实验里创建显式共享/NTFS 权限、访问枚举、签名检查和恢复测试的 SMB 共享。

**测试环境**

- 版本号: 26100.33650
- 版本: Standard / Datacenter (Evaluation)
- 架构: x64
- 证据: E1
- 核验日期: 2026-10-28

## 一句话结论

共享有**两层**权限：

1. **共享权限**——谁能通过 SMB 连接。
2. **NTFS 权限**——连接后能做什么。

最终权限是两者中**更严格**的组合。共享给 `Everyone: Full Control`、再靠 NTFS 兜底，是常见的实验捷径，也是生产事故。

用组、显式共享，并用真实用户测试。

## 建目录和组

```powershell
New-Item -ItemType Directory -Path D:\Shares\Finance
New-ADGroup -Name 'GG-Finance-RW' -GroupScope Global -Path 'OU=Groups,DC=lab,DC=internal'
New-ADGroup -Name 'GG-Finance-RO' -GroupScope Global -Path 'OU=Groups,DC=lab,DC=internal'
```

把用户加进组。能用组就不要给单用户授权。

## 先 NTFS

```powershell
icacls D:\Shares\Finance /inheritance:r
icacls D:\Shares\Finance /grant 'LAB\Domain Admins:(OI)(CI)F'
icacls D:\Shares\Finance /grant 'LAB\GG-Finance-RW:(OI)(CI)M'
icacls D:\Shares\Finance /grant 'LAB\GG-Finance-RO:(OI)(CI)RX'
```

`(OI)(CI)` 作用于文件和文件夹；`M` 修改，`RX` 读取/执行。没有书面理由就移除 `Users`/`Everyone`。

## 再建共享

```powershell
New-SmbShare -Name 'Finance' -Path 'D:\Shares\Finance' -FullAccess 'LAB\Domain Admins' -ChangeAccess 'LAB\GG-Finance-RW' -ReadAccess 'LAB\GG-Finance-RO'
Set-SmbShare -Name 'Finance' -FolderEnumerationMode AccessBased
Get-SmbShareAccess -Name 'Finance'
```

访问枚举会隐藏用户读不到的文件夹。它不是安全边界；真正执行的是 NTFS。

## 客户端验证

```powershell
net use Z: \\dc1\Finance /user:LAB\financeuser *
Get-SmbConnection
icacls Z:\
```

测试：

- 只读用户不能创建/删除；
- 修改用户可以创建/重命名；
- 无关用户列不出共享；
- 重启后共享还在。

## 签名、加密与防火墙

```powershell
Get-SmbServerConfiguration |
  Select-Object EnableSMB1Protocol, RequireSecuritySignature, EnableSecuritySignature, EncryptData
```

- SMB1 保持关闭。
- 客户端支持时优先签名/加密；对老设备强制前先测。
- 只在需要的网络配置文件放行**文件和打印机共享**；不要把 SMB 开到公网。

> **警告: 共享不是备份**
>
> 同一台服务器上的映射盘不是备份。保留独立副本并测试恢复。SMB 权限挡不住以合法用户身份运行的勒索软件。

## 故意弄坏它

1. 把用户移出组；重新登录后确认权限变化。
2. 重命名共享；确认客户端失败、旧路径消失。
3. 从备份恢复一个文件；确认权限保留。
4. 改 ACL 前给 VM 打快照；写下回滚。

## 来源

- [Microsoft Learn — SMB 共享](https://learn.microsoft.com/zh-cn/windows-server/storage/file-server/file-server-smb-overview)
- [Microsoft Learn — New-SmbShare](https://learn.microsoft.com/zh-cn/powershell/module/smbshare/new-smbshare)
- [Microsoft Learn — SMB 安全](https://learn.microsoft.com/zh-cn/windows-server/storage/file-server/smb-security)

---

来源页面: https://winbook.fyi/zh/server/roles/smb/