Windows Serveur - 5.4 Autorisations NTFS : cumul des groupes et refus
Un utilisateur appartient souvent à plusieurs groupes, et chacun peut recevoir des autorisations différentes sur le même dossier. Cette leçon montre comment Windows combine ces autorisations. Elle explique aussi pourquoi l'autorisation de refus doit être employée avec précaution.
Le cumul des autorisations de plusieurs groupes
Prenons le dossier Rapports des ventes. Le groupe des directeurs des ventes a l'autorisation de modification, tandis que le groupe des utilisateurs des ventes n'a que la lecture.
Bob est membre des utilisateurs des ventes, donc il a la lecture. Lorsqu'il est promu, on l'ajoute au groupe des directeurs des ventes sans le retirer de l'autre groupe, qui contient tout le service.
À la connexion, Bob reçoit les droits de ses deux groupes. Le résultat retenu est le plus élevé des deux : il peut donc modifier le dossier, créer, lire et supprimer des éléments.
La vidéo explique qu'il n'existe pas de moyen efficace de retirer chaque personne d'un groupe à chaque promotion. Il faut donc bien concevoir les groupes dès le départ.
L'autorisation de refus
Un groupe des entrepreneurs se voit refuser l'accès en cochant explicitement la colonne Refuser. Si Bob est aussi membre de ce groupe, le refus l'emporte sur les autorisations accordées par ailleurs.
La vidéo conseille de privilégier une autorisation bien pensée plutôt que le refus. Un refus s'applique à tout et peut bloquer des accès qu'on voulait garder.
En résumé
En résumé, les autorisations NTFS de plusieurs groupes se cumulent, et le résultat le plus élevé s'applique. Le refus explicite l'emporte sur les autorisations accordées. Mieux vaut bien concevoir les groupes pour éviter d'avoir à s'en servir.
Points clés
- Un utilisateur reçoit les autorisations de tous ses groupes.
- Quand plusieurs autorisations s'appliquent, la plus élevée est retenue.
- Retirer chaque utilisateur d'un groupe à chaque promotion est difficile à administrer.
- L'autorisation de refus se coche explicitement dans la colonne Refuser.
- Le refus l'emporte sur les autorisations accordées par ailleurs.
- Concevoir correctement les groupes évite de devoir recourir au refus.
Questions fréquentes
Faut-il retirer un utilisateur de son ancien groupe lors d'une promotion ?
La vidéo n'en retire pas Bob, car le groupe général contient tout le service. L'appartenance au nouveau groupe ajoute simplement ses droits.
Quelle est la règle quand deux autorisations s'opposent ?
Les autorisations de deux groupes se combinent, et la plus élevée s'applique. En revanche, un refus explicite l'emporte sur les autorisations accordées.
Faut-il utiliser souvent le refus ?
Non. La vidéo le déconseille, car un refus s'applique à tout et peut bloquer des accès qu'on voulait garder.