跳转到内容
WinBook非官方

Windows Server 2025 SMB 共享：不用 Everyone 的共享与 NTFS 权限

核验于 1 分钟阅读

在 Windows Server 2025 实验里创建显式共享/NTFS 权限、访问枚举、签名检查和恢复测试的 SMB 共享。

测试环境Standard / Datacenter (Evaluation) · 版本号 26100.33650 · x64
E1
版本号
26100.33650
版本
Standard / Datacenter (Evaluation)
架构
x64
支持
实验（E1）
证据
E1官方文档
核验日期
2026-10-28
页面类型
服务器角色

一句话结论

Section titled “一句话结论”

共享有两层权限：

  1. 共享权限——谁能通过 SMB 连接。
  2. NTFS 权限——连接后能做什么。

最终权限是两者中更严格的组合。共享给 Everyone: Full Control、再靠 NTFS 兜底，是常见的实验捷径，也是生产事故。

用组、显式共享，并用真实用户测试。

建目录和组

Section titled “建目录和组”
终端窗口
New-Item -ItemType Directory -Path D:\Shares\Finance
New-ADGroup -Name 'GG-Finance-RW' -GroupScope Global -Path 'OU=Groups,DC=lab,DC=internal'
New-ADGroup -Name 'GG-Finance-RO' -GroupScope Global -Path 'OU=Groups,DC=lab,DC=internal'

把用户加进组。能用组就不要给单用户授权。

先 NTFS

Section titled “先 NTFS”
终端窗口
icacls D:\Shares\Finance /inheritance:r
icacls D:\Shares\Finance /grant 'LAB\Domain Admins:(OI)(CI)F'
icacls D:\Shares\Finance /grant 'LAB\GG-Finance-RW:(OI)(CI)M'
icacls D:\Shares\Finance /grant 'LAB\GG-Finance-RO:(OI)(CI)RX'

(OI)(CI) 作用于文件和文件夹；M 修改，RX 读取/执行。没有书面理由就移除 Users/Everyone。

再建共享

Section titled “再建共享”
终端窗口
New-SmbShare -Name 'Finance' -Path 'D:\Shares\Finance' -FullAccess 'LAB\Domain Admins' -ChangeAccess 'LAB\GG-Finance-RW' -ReadAccess 'LAB\GG-Finance-RO'
Set-SmbShare -Name 'Finance' -FolderEnumerationMode AccessBased
Get-SmbShareAccess -Name 'Finance'

访问枚举会隐藏用户读不到的文件夹。它不是安全边界；真正执行的是 NTFS。

客户端验证

Section titled “客户端验证”
终端窗口
net use Z: \\dc1\Finance /user:LAB\financeuser *
Get-SmbConnection
icacls Z:\

测试：

  • 只读用户不能创建/删除；
  • 修改用户可以创建/重命名；
  • 无关用户列不出共享；
  • 重启后共享还在。

签名、加密与防火墙

Section titled “签名、加密与防火墙”
终端窗口
Get-SmbServerConfiguration |
  Select-Object EnableSMB1Protocol, RequireSecuritySignature, EnableSecuritySignature, EncryptData
  • SMB1 保持关闭。
  • 客户端支持时优先签名/加密；对老设备强制前先测。
  • 只在需要的网络配置文件放行文件和打印机共享；不要把 SMB 开到公网。

故意弄坏它

Section titled “故意弄坏它”
  1. 把用户移出组；重新登录后确认权限变化。
  2. 重命名共享；确认客户端失败、旧路径消失。
  3. 从备份恢复一个文件；确认权限保留。
  4. 改 ACL 前给 VM 打快照；写下回滚。

来源