Niveau : Intermédiaire
Durée : 90 min
Module : Infrastructure TIP
Dans une entreprise, les utilisateurs doivent régulièrement accéder à des ressources stockées sur le réseau :
- dossiers de service ;
- documents communs ;
- répertoires personnels ;
- applications utilisant des fichiers partagés ;
- espaces de travail collaboratifs.
Le technicien doit comprendre deux notions différentes :
rendre une ressource accessible sur le réseau et déterminer qui a le droit de l’utiliser.
Une mauvaise gestion des permissions peut provoquer soit un refus d’accès injustifié, soit au contraire l’exposition de données à des utilisateurs non autorisés.
🎯 Objectifs du cours
À la fin de ce cours, tu devras être capable de :
- expliquer ce qu’est un partage réseau ;
- comprendre le rôle du protocole SMB ;
- lire un chemin UNC ;
- distinguer permissions de partage et permissions NTFS ;
- comprendre les droits Lecture, Modification et Contrôle total ;
- comprendre le principe d’héritage des permissions ;
- identifier les droits effectifs d’un utilisateur ;
- comprendre l’intérêt des groupes de sécurité ;
- appliquer le principe du moindre privilège ;
- tester l’accès à un partage ;
- diagnostiquer un refus d’accès ;
- utiliser les principales commandes Windows liées aux partages.
1. Qu’est-ce qu’un partage réseau ?
Un partage réseau permet de rendre un dossier ou une ressource accessible depuis d’autres machines du réseau.
Par exemple, un serveur possède localement le dossier :
D:\Partages\ComptabiliteIl peut être publié sous le nom :
COMPTABILITELes utilisateurs y accèdent alors avec un chemin réseau.
\\SRV-FICHIERS\COMPTABILITE2. Le chemin UNC
Un chemin réseau Windows utilise souvent la syntaxe UNC :
\\Serveur\PartagePar exemple :
\\SRV-FICHIERS\COMMUNIl contient :
| Élément | Valeur |
|---|---|
| Serveur | SRV-FICHIERS |
| Nom du partage | COMMUN |
Un sous-dossier peut également être indiqué :
\\SRV-FICHIERS\COMMUN\PROJETS\20263. SMB
Les partages Windows utilisent principalement le protocole SMB — Server Message Block.
SMB permet notamment :
- l’accès aux fichiers partagés ;
- l’accès aux dossiers ;
- certaines fonctions d’impression réseau ;
- les échanges entre clients et serveurs Windows.
Dans les environnements modernes, SMB utilise principalement :
TCP 445Un test utile est donc :
Test-NetConnection SRV-FICHIERS -Port 4454. Partager un dossier ne signifie pas donner accès à tout le monde
Deux mécanismes principaux interviennent lors de l’accès réseau à un dossier Windows :
- les permissions de partage ;
- les permissions NTFS.
Il faut comprendre les deux pour diagnostiquer correctement un refus d’accès.
5. Les permissions de partage
Les permissions du partage contrôlent l’accès effectué à travers le réseau.
On retrouve généralement trois niveaux principaux :
| Droit de partage | Possibilités principales |
|---|---|
| Lecture | Lire les fichiers et parcourir les dossiers |
| Modifier | Lire, créer, modifier et supprimer |
| Contrôle total | Modifier et gérer également les permissions du partage |
6. Les permissions NTFS
NTFS contrôle l’accès aux fichiers et dossiers stockés sur un volume utilisant ce système de fichiers.
Les permissions sont plus détaillées que celles du partage.
Parmi les droits fréquemment rencontrés :
| Permission NTFS | Fonction principale |
|---|---|
| Lecture | Lire les fichiers et attributs |
| Lecture et exécution | Lire et exécuter les fichiers autorisés |
| Afficher le contenu du dossier | Parcourir les dossiers |
| Écriture | Créer ou modifier certains contenus |
| Modification | Lire, écrire, modifier et supprimer |
| Contrôle total | Inclut la gestion avancée des permissions |
Le droit Modification autorise normalement la suppression des fichiers et dossiers auxquels il s’applique.
Il ne faut donc pas l’attribuer lorsque l’utilisateur doit uniquement consulter les données.
7. Comment se combinent partage et NTFS ?
Lorsqu’un utilisateur accède à un dossier par le réseau, il doit être autorisé :
par les permissions du partage ET par les permissions NTFS.
Exemple :
| Permission de partage | Permission NTFS | Résultat pratique |
|---|---|---|
| Lecture | Modification | Lecture seulement via ce partage |
| Contrôle total | Lecture | Lecture seulement |
| Contrôle total | Modification | Modification |
✅ À retenir
Pour un accès réseau, le droit réellement utilisable correspond à ce que permettent ensemble les permissions de partage et NTFS.
Une permission très large au niveau du partage ne permet pas de contourner une restriction NTFS.
8. Accès local et accès réseau
Les permissions de partage ne s’appliquent que lorsque la ressource est utilisée via le partage réseau.
Par exemple :
\\SRV-FICHIERS\COMMUNUn accès effectué localement sur le serveur dépend directement des permissions NTFS.
C’est l’une des raisons pour lesquelles NTFS constitue un élément essentiel du contrôle d’accès.
9. Le principe du moindre privilège
Le principe du moindre privilège consiste à accorder uniquement les droits nécessaires à la réalisation du travail.
Par exemple :
| Besoin | Droit possible |
|---|---|
| Consulter une procédure | Lecture |
| Créer et modifier des documents de service | Modification |
| Administrer les permissions | Contrôle total réservé aux personnes autorisées |
Attribuer systématiquement Contrôle total est une mauvaise pratique.
10. Utilisateur ou groupe ?
Dans une infrastructure professionnelle, les permissions sont généralement attribuées à des groupes de sécurité plutôt qu’individuellement à chaque utilisateur.
Par exemple :
GG_COMPTABILITEpeut regrouper les utilisateurs travaillant au service comptabilité.
Cette approche simplifie :
- les arrivées ;
- les départs ;
- les changements de service ;
- les audits de droits.
La gestion détaillée des groupes Active Directory sera approfondie dans TIP 3.12.
11. Héritage NTFS
Par défaut, un sous-dossier peut hériter des permissions définies sur son dossier parent.
Par exemple, si :
D:\Partages\COMPTABILITEaccorde le droit Modification à un groupe, les sous-dossiers peuvent automatiquement recevoir les mêmes permissions.
L’héritage facilite la gestion cohérente d’une arborescence.
12. Permissions explicites et héritées
Une permission peut être :
- héritée depuis le dossier parent ;
- explicite, définie directement sur le fichier ou dossier.
Avant de modifier une permission, il faut identifier son origine.
Ne casse pas l’héritage simplement pour résoudre rapidement un incident.
Une modification locale peut rendre l’arborescence difficile à administrer et créer des écarts de sécurité.
13. Le refus explicite
Windows permet également de définir des permissions de type Refuser.
Elles doivent être utilisées avec prudence.
Un refus applicable peut prendre le dessus sur des autorisations dont l’utilisateur dispose par ailleurs.
Cela peut rendre le diagnostic plus complexe lorsque l’utilisateur appartient à plusieurs groupes.
Dans la plupart des architectures simples, il est préférable de gérer les accès avec des autorisations correctement structurées plutôt que de multiplier les refus explicites.
14. Les droits effectifs
Un utilisateur peut appartenir à plusieurs groupes.
Ses possibilités réelles dépendent donc de l’ensemble des permissions qui lui sont applicables.
On parle de droits effectifs.
Pour les déterminer, il faut considérer notamment :
- les groupes auxquels appartient l’utilisateur ;
- les permissions NTFS ;
- les permissions héritées ;
- les permissions explicites ;
- les éventuels refus ;
- les permissions de partage lors d’un accès réseau.
15. Onglet Accès effectif
Windows permet d’évaluer les permissions effectives d’un utilisateur ou groupe depuis les paramètres de sécurité avancés d’un fichier ou dossier.
Cet outil est utile lorsque :
- l’utilisateur appartient à plusieurs groupes ;
- l’arborescence contient des permissions différentes ;
- le résultat n’est pas évident à déterminer manuellement.
16. Afficher les partages avec PowerShell
Sur un serveur Windows, la commande :
Get-SmbSharepermet d’afficher les partages SMB.
Exemple :
Get-SmbShareTu peux retrouver notamment :
- le nom du partage ;
- le chemin local ;
- sa description.
17. Examiner les permissions d’un partage
PowerShell permet également d’afficher les droits d’un partage :
Get-SmbShareAccess -Name COMPTABILITECette commande permet notamment d’identifier :
- les comptes ou groupes concernés ;
- le type d’autorisation ;
- le niveau de droit.
18. Examiner les permissions NTFS
Avec PowerShell :
Get-Acl "D:\Partages\Comptabilite"Pour visualiser plus précisément les entrées :
(Get-Acl "D:\Partages\Comptabilite").AccessPour un diagnostic, commence par observer les permissions existantes avant de les modifier.
19. Connecter un partage réseau
Un utilisateur peut saisir directement un chemin UNC dans l’Explorateur :
\\SRV-FICHIERS\COMMUNIl peut également utiliser une lettre de lecteur.
Par exemple :
S:qui pointe vers :
\\SRV-FICHIERS\COMMUN20. La commande net use
Pour afficher les connexions réseau existantes :
net usePour connecter un lecteur :
net use S: \\SRV-FICHIERS\COMMUNPour supprimer cette connexion :
net use S: /deleteDans un domaine, les lecteurs peuvent aussi être déployés automatiquement par d’autres mécanismes comme les stratégies de groupe, que nous verrons plus tard.
21. Tester SMB avant d’accuser les permissions
Si un utilisateur ne parvient pas à ouvrir :
\\SRV-FICHIERS\COMMUNcommence par vérifier que le serveur et le service SMB sont joignables.
Resolve-DnsName SRV-FICHIERSpuis :
Test-NetConnection SRV-FICHIERS -Port 445Si le port 445 est inaccessible, modifier les permissions du dossier ne corrigera pas le problème réseau.
22. Distinguer les principaux symptômes
| Symptôme | Piste |
|---|---|
| Serveur introuvable | DNS / réseau |
| TCP 445 inaccessible | SMB / pare-feu / réseau |
| Partage inexistant | Nom du partage / configuration serveur |
| Accès refusé | Authentification / permissions |
| Lecture possible mais modification impossible | Droits effectifs insuffisants |
23. Cas : l’utilisateur peut lire mais pas modifier
Un utilisateur ouvre correctement :
\\SRV-FICHIERS\COMMUNIl peut consulter les fichiers mais ne peut pas en créer.
Le réseau est-il probablement en cause ?
✅ Afficher la réponse
Probablement pas.
L’utilisateur atteint le serveur et accède au partage.
Il faut donc examiner principalement les permissions effectives du partage et du système de fichiers.
24. Cas : un nouvel agent n’accède pas au dossier
Un nouvel utilisateur du service comptabilité ne peut pas accéder au dossier partagé alors que ses collègues y accèdent.
Quelle vérification est particulièrement importante ?
✅ Afficher la réponse
Vérifier ses appartenances aux groupes utilisés pour attribuer les droits.
Si les permissions sont attribuées à un groupe Comptabilité et que l’utilisateur n’en est pas membre, son accès peut logiquement être refusé.
25. Cas : donner Contrôle total pour résoudre le problème
Un utilisateur reçoit « Accès refusé ».
Un technicien propose immédiatement :
Donner Contrôle total à Tout le mondeEst-ce une bonne méthode ?
✅ Afficher la réponse
Non.
Cette modification masque la cause et peut exposer des données sensibles.
Il faut identifier :
- le compte concerné ;
- ses groupes ;
- les permissions du partage ;
- les permissions NTFS ;
- les droits réellement nécessaires.
26. Cas : dossier supprimé par erreur
Un utilisateur dispose du droit NTFS :
ModificationIl supprime un dossier par erreur.
Est-ce incohérent avec son niveau de droit ?
✅ Afficher la réponse
Non.
Le droit Modification autorise normalement la suppression des éléments auxquels il s’applique.
Si ce comportement n’est pas souhaité, l’architecture des permissions doit être revue plutôt que de supposer que Modification signifie uniquement « modifier le contenu d’un fichier ».
27. Partages cachés
Un nom de partage se terminant par :
$n’est généralement pas affiché lors d’un parcours classique du serveur.
Exemple :
\\SRV-FICHIERS\ARCHIVES$Cela ne constitue pas une mesure de sécurité à lui seul.
Les permissions doivent toujours contrôler l’accès.
28. Partages administratifs
Windows peut également créer des partages administratifs comme :
C$
ADMIN$Ils sont destinés aux opérations d’administration autorisées.
Ils ne doivent pas être utilisés pour contourner les mécanismes normaux de partage et de contrôle d’accès.
29. Éviter les permissions attribuées directement aux utilisateurs
Une arborescence comportant des dizaines de comptes utilisateurs directement dans les ACL devient difficile à maintenir.
Il est préférable, lorsque l’architecture le permet, de raisonner avec :
utilisateurs → groupes → permissions sur les ressources.
Nous approfondirons cette méthode avec Active Directory dans TIP 3.12.
30. Documenter les droits
Une modification des accès doit être traçable.
La documentation peut indiquer :
| Information | Exemple |
|---|---|
| Ressource | \\SRV-FICHIERS\COMPTABILITE |
| Groupe | G_COMPTA_MODIF |
| Droit | Modification |
| Motif | Accès équipe Comptabilité |
| Date | Date de modification |
Le référentiel demande précisément de documenter les modifications afin de conserver un historique fiable des accès.
31. Méthode de diagnostic d’un accès réseau
Lorsqu’un utilisateur ne peut pas accéder à une ressource partagée, procède dans cet ordre :
- confirmer le chemin demandé ;
- vérifier la résolution DNS du serveur ;
- tester TCP 445 ;
- vérifier que le partage existe ;
- identifier le compte utilisé ;
- vérifier les groupes de l’utilisateur ;
- examiner les permissions de partage ;
- examiner les permissions NTFS ;
- identifier les droits effectifs ;
- tester à nouveau sans attribuer de droits excessifs.
✅ Méthode
Réseau → SMB → partage → identité → groupes → partage → NTFS → droits effectifs.
32. TP – Diagnostiquer un refus d’accès
Le serveur :
SRV-FICHIERShéberge le partage :
\\SRV-FICHIERS\RHLe dossier local est :
D:\Partages\RHLe groupe :
G_RH_MODIFdoit disposer du droit Modification.
Une nouvelle utilisatrice, Sophie, signale :
Accès refuséLes autres membres du service RH travaillent normalement.
Travail demandé :
- Tester la résolution du serveur.
- Tester le port SMB.
- Vérifier que le partage RH existe.
- Contrôler les permissions du partage.
- Contrôler les permissions NTFS.
- Vérifier si Sophie appartient au groupe requis.
- Déterminer la correction la plus logique.
- Tester à nouveau l’accès.
- Documenter la modification.
Commandes pouvant être utilisées :
Resolve-DnsName SRV-FICHIERS
Test-NetConnection SRV-FICHIERS -Port 445
Get-SmbShare
Get-SmbShareAccess -Name RH
Get-Acl "D:\Partages\RH"✅ Corrigé du TP
Si le serveur est joignable, que SMB fonctionne, que les permissions du partage et NTFS sont correctes pour le groupe G_RH_MODIF mais que Sophie n’appartient pas à ce groupe, l’anomalie se situe probablement dans son appartenance au groupe.
La correction logique consiste à traiter cette appartenance selon la procédure de l’organisation plutôt que d’ajouter Sophie individuellement dans les permissions du dossier.
Après correction, il faut :
- actualiser la session de l’utilisateur si nécessaire ;
- tester l’accès ;
- vérifier que seules les autorisations prévues sont obtenues ;
- documenter l’intervention.
🎓 Point examen
Face à un problème d’accès à un partage, ne modifie pas immédiatement les ACL.
Montre une démarche structurée :
connectivité → SMB → partage → utilisateur → groupe → permissions → validation.
Le jury peut également vérifier que tu comprends la différence entre :
permission de partage → contrôle l’accès via le réseau ;
permission NTFS → contrôle l’accès au fichier ou dossier ;
droit effectif → résultat de l’ensemble des permissions applicables.
La bonne solution est celle qui accorde exactement les droits nécessaires, sans ouvrir inutilement la ressource.
Quiz – Vérifie tes connaissances
Question 1
Quel protocole est principalement utilisé par les partages Windows modernes ?
A. SMB
B. SMTP
C. SNMP
D. RDP
✅ Voir la réponse
Réponse A.
Question 2
Quel port TCP est principalement associé à SMB moderne ?
A. 22
B. 53
C. 445
D. 3389
✅ Voir la réponse
Réponse C.
Question 3
Quel chemin correspond à un chemin UNC ?
A. C:\COMMUN
B. \\SRV-FICHIERS\COMMUN
C. http://COMMUN
D. 192.168.1.1/24
✅ Voir la réponse
Réponse B.
Question 4
Les permissions NTFS s’appliquent-elles uniquement aux accès réseau ?
A. Oui
B. Non
✅ Voir la réponse
Réponse B. Elles contrôlent l’accès au système de fichiers, y compris localement.
Question 5
Quel droit NTFS permet normalement de supprimer les fichiers auxquels il s’applique ?
A. Lecture seule
B. Modification
C. Aucun
D. Affichage uniquement
✅ Voir la réponse
Réponse B.
Question 6
Quelle commande PowerShell liste les partages SMB ?
A. Get-SmbShare
B. Get-NetShareDrive
C. Show-Folder
D. Get-UNC
✅ Voir la réponse
Réponse A.
Question 7
Quelle commande affiche les permissions d’un partage SMB ?
A. Get-SmbShareAccess
B. Get-NetAdapter
C. Get-NetRoute
D. Resolve-DnsName
✅ Voir la réponse
Réponse A.
Question 8
Quelle commande permet d’examiner une ACL NTFS avec PowerShell ?
A. Get-Acl
B. Get-Dhcp
C. Test-NetConnection
D. netstat
✅ Voir la réponse
Réponse A.
Question 9
Faut-il attribuer Contrôle total à Tout le monde pour résoudre rapidement un refus d’accès ?
A. Oui
B. Non
✅ Voir la réponse
Réponse B. Il faut identifier la cause et appliquer le moindre privilège.
Question 10
Quelle est la meilleure pratique pour gérer les permissions d’un service ?
A. Donner directement des droits à chaque utilisateur
B. Utiliser des groupes lorsque l’architecture le permet
C. Autoriser Tout le monde en Contrôle total
D. Désactiver NTFS
✅ Voir la réponse
Réponse B.
✅ À retenir
UNC → \\Serveur\Partage.
SMB → protocole utilisé pour les partages Windows.
TCP 445 → port principal de SMB moderne.
Permissions de partage → s’appliquent lors de l’accès réseau.
Permissions NTFS → contrôlent l’accès aux fichiers et dossiers.
Modification → permet notamment de créer, modifier et supprimer.
Contrôle total → doit être réservé aux besoins d’administration appropriés.
Héritage → transmet les permissions du parent aux éléments enfants.
Droits effectifs → ensemble des autorisations réellement applicables.
Groupes → à privilégier pour administrer les accès de manière maintenable.
Get-SmbShare → liste les partages.
Get-SmbShareAccess → affiche leurs permissions.
Get-Acl → examine les ACL NTFS.
Test-NetConnection -Port 445 → vérifie l’accès au service SMB.
Réflexe technicien → Réseau → SMB → partage → identité → groupes → NTFS → droits effectifs.
📄 Fiche de révision
Retrouvez l’essentiel de ce cours dans une fiche synthétique à conserver ou à imprimer pour vos révisions.