Windows Server 2016'da Sharing (Paylaşım) İzinleri

Windows Server 2016'da paylaşım izinleri, dosya ve klasörler üzerinde hassasiyetle yönetilmesi gereken kritik bir konu olarak karşımıza çıkar. Bu izinler, Network üzerindeki kullanıcıların belirli dosyalara veya klasörlere erişimini kontrol etmenizi sağlar ve doğru yapılandırılmadığında veri güvenliği risklerini artırabilir. Paylaşım izinleri, dosyaların kimler tarafından okunabileceğini, yazılabileceğini veya değiştirilebileceğini belirlemenizi sağlayarak, Network'teki veri yönetimini güvenli ve düzenli hale getirir. Özellikle büyük organizasyonlarda, her kullanıcıya farklı seviyelerde erişim hakkı tanımlamak gerekebilir ve bu da Windows Server 2016'nın sunduğu detaylı izin yapılandırmaları sayesinde mümkündür.

Paylaşım izinlerinin temel amacı, dosya ya da klasörlere yerel Network üzerinden erişen kullanıcıların neler yapabileceğini sınırlamaktır. Windows Server 2016'da paylaşım izinlerini yapılandırmak oldukça basittir. İlk adımda, paylaşılacak klasör seçilir ve ardından belirli kullanıcılar ya da gruplar için izinler atanır. Bu izinler, Read, Change ve Full Control olarak üç ana başlıkta toplanır. Read, kullanıcının yalnızca dosyaları görüntüleyebilmesine olanak tanırken; Change, dosyaların düzenlenmesini ve silinmesini sağlar. Full Control ise en yüksek seviyede erişim iznini tanımlar ve kullanıcıya dosya veya klasör üzerinde tam yetki verir. Bu izinlerin doğru şekilde yapılandırılması, Network üzerindeki kullanıcıların ihtiyaç duydukları erişim düzeyine sahip olmasını sağlarken, gereksiz yetkilendirmeleri de önlemiş olur.

Ancak, Paylaşım İzinleri ile çalışırken dikkat edilmesi gereken önemli bir husus vardır. Bu izinler, yalnızca Network üzerinden erişim için geçerlidir. Yani, kullanıcı direkt olarak fiziksel bir sunucu ya da bilgisayardan oturum açmışsa, Sharing Permissions (paylaşım izinleri) devreye girmez. Bu durumda NTFS İzinleri geçerli olur. Dolayısıyla, hem NTFS hem de Paylaşım İzinleri birlikte göz önünde bulundurularak, her iki tarafın da dikkatlice yapılandırılması gerekir. Örneğin, bir klasöre Network üzerinden (Universal Naming Convention) erişimde Write izni verilirken, aynı klasöre fiziksel erişimde, yani kullanıcının direkt olarak sunucu ya da bilgisayara erişmesi durumunda, yalnızca Read izni tanımlamak mümkündür. Bu şekilde katmanlı bir güvenlik yapısı kurarak, dosyalarınızı hem yerel hem de Network tabanlı erişimlerde koruma altına alabilirsiniz. Örneğin, hem NTFS (New Technology File System) Permissions (NTFS izinleri) hem de Sharing Permissions (paylaşım izinleri) birlikte kullanıldığında, her iki güvenlik katmanı da devreye girer ve en kısıtlayıcı olan uygulanır. Bu sayede, sadece tek bir güvenlik yöntemi yerine, birden fazla katmanla korunmuş bir sistem oluşturulur ve farklı erişim yollarına karşı daha güçlü bir güvenlik sağlanır.

Bir kaç noktaya daha değinmekte fayda var.

• Paylaşım izinleri (Sharing Permissions), sadece klasörlere uygulanabilir.
• Paylaşım izinleri (Sharing Permissions), hem FAT hem de NTFS Format'lı Volume'ler üzerinde bulunan klasörlere uygulanabilir.
• Paylaşım izinleri (Sharing Permissions), paylaşıma açılan klasör, örneğin sadece \\SRVDC01 ya da \\10.10.10.100 gibi UNC (Universal Naming Convention) Path üzerinden erişildiği zaman geçerli olan bir izin yöntemidir.

Örnek Senaryo-1

Server'ım üzerinde COMPANY isimli bir klasör var. Bu klasörümü paylaşıma açarak gerekli paylaşım izin atamalarını sağlayacağım.

1- Klasör Özellikleri penceresinde Sharing tab'ında Advanced Sharing... butonuna tıklıyorum.



2- Advanced Sharing penceresinde Share this folder Check Box'ını seçili hale getiriyorum.



3- Share this folder Check Box'ını seçili hale getirdikten sonra, izinleri atayabileceğimiz Permissions butonu da aktif hale geliyor.



Paylaşım izinleri ve tanımlamalarını Permissions penceresinden yapacağız. Paylaşım izinleri (Sharing Permissions), Allow ve Deny grupları altında; Read (okuma), Change (değiştirme), Full Control (tam denetim) olmak üzere üç kısımdan ve iki temel izinden oluşmaktadır.

Allow İzin Grubu

1- Read: Varsayılan olarak Everyone grubu atanmış olup, bu grup için varsayılan seçenektir.

» Klasör içindeki dosyaları ve alt klasörleri görüntüleme yetkisi verir. 



2- Change: Read izninin bütün özelliklerini içermesinin yanında;

» Klasör içerisindeki dosyalar üzerinde değişiklik yapma yetkisi verir.
» Alt klasörleri ve dosyaları silme yetkisi verir.



3- Full Control: Read ve Change izinlerinin bütün özelliklerini içermesinin yanında;

» Klasör izin değişikliği ya da sahipliğini alma gibi yetkiler verir.

Deny İzin Grubu

1- Read: Klasör içindeki dosya ve alt klasörlere erişimi engeller.



2- Change: Read izninin bütün özelliklerini içermesinin yanında;

» Klasör içerisindeki dosyalar üzerinde değişiklik yapmayı engeller.
» Alt klasörleri ve dosyaları silmeyi engeller.



3- Full Control: Read ve Change izinlerinin bütün özelliklerini içermesinin yanında;

» Klasör izin değişikliği ya da sahipliğini alma gibi işlemleri engeller.



4- Paylaşım İzinleri (Sharing Permissions) İçin Kullanıcı ve/veya Grup tanımlamaları yapma Group or user names altındaki alana ACL (Access Control List) adı verilmektedir. Paylaşım İzinleri (Sharing Permissions) İçin Kullanıcı ve/veya Grup tanımlamaları da, Kullanıcı ve/veya Grup buradaki ACL'e eklenmeleri ile sağlanmaktadır. ACL'e eklenen her Kullanıcı ve/veya Grup için ayrı ayrı izin tanımlamaları yapılabilmektedir.



5- Kullanıcı ve/veya Grup eklemek için Add.. butonuna basıyorum.



6- Karşıma çıkan Select Users, Computers, Service Account or Groups penceresinde Enter the object names to select alanında, Kullanıcı ve/veya Grup isminin tamamı yazılabilir veya ismin bir kısmı yazılarak sağdaki Check Names butonuna basılarak sistemin bunu algılayarak ismi otomatik tamamlaması sağlanabilir. Ben Fırat Boyan Kullanıcısını ekliyorum.









6.1- Size tavsiyem, gerekmedikçe Everyone kullanıcı grubu kaldırarak, sadece izin ataması yapmak istediğiniz Kullanıcı ve/veya Grupları ACL'e eklemeniz olacaktır.



7- Fırat Boyan isimli kullanıcıya COMPANY isimli klasör üzerinde Full Control-Allow yetkisi veriyorum.





8- Bu işlemden sonra "COMPANY" isimli klasörüm paylaşıma açılarak Fırat Boyan isimli kullanıcıya da gerekli yetkilendirme yapıldı.



9- Fırat Boyan kullanıcısı ile PC01 Host Name'li bilgisayarda oturum açarak, \\Host Name ya da \\IPAdresi üzerinden paylaşıma erişiyorum.



10- "COMPANY" isimli paylaşım klasörüme tıkladığımda Fırat Boyan kullanıcısı için Full Control-Allow yetkisi tanımlamama rağmen erişim için gerekli iznimin olmadığı hata bilgisi ile karşılaştım. Bunun nedeni, klasöre asıl klasör izni olan Security (Güvenlik-NTFS) izin ataması gerçekleştirmemiş olmamdır.



Bilgi!: Bir kaynağa ister Universal Naming Convention (UNC) üzerinden, ister de paylaşımın açıldığı bilgisayardan erişilsin, mutlaka güvenlik izlerinin yapılandırılması şarttır. Ancak bu noktada bir ayrım söz konusudur:

» Paylaşıma açılan klasör, Network  üzerinden erişiliyorsa, hem Sharing Permission hem de Security Permission gerçeli olarak, her iki taraftadaki izinler karşılaştırılır ve aralarında en kısıtlayıcı olan hangisi ise, o uygulanır.
» Paylaşıma açılan klasör, paylaşımın açıldığı bilgisayardan erişiliyorsa, Sharing Permission geçerli olmaz. Sadece Security Permission geçerli olur ve aralarında karşılaştırma da yapılmaz.

11- Yukarıdaki bilgiler doğrultusunda Server'da paylaşıma açtığım "COMPANY" isimli paylaşım klasörüm üzerinde bu sefer de Security sekmesinde Fırat Boyan kullanıcısı için Security Permission tanımlaması gerçekleştireceğim. Bunun için Edit... butonuna basıyorum.



12- Karşıma çıkan pencerede ACL (Access Control List) içine Fırat Boyan kullanıcısını eklemek için Add... botonuna basıyorum.



13- Eklemek istediğim kullacım olan Fırat Boyan için fırat yazarak Check Names butonuna basıyor, ismin tamamlanmasını sağlayarak OK butonuna basıp, ekliyorum.



14- Kullanıcım eklendikten sonra varsayılan olarak Read (Okuma) izni atanmış durumdadır.





15- Fırat Boyan kullanıcısı PC01 Host Name'li bilgisayarda tekrar \\Host Name ya da \\IPAdresi üzerinden paylaşıma erişim sağladığımda bu sefer sorunsuz bir şekilde klasörün içini görüntüleyebiliyorum.



16- Paylaşım klasörüm içinde bir New Folder (Yeni Klasör) oluşturuyorum.



16.1- Fırat Boyan kullanıcısı için Full Control-Allow yetkisi tanımlamama rağmen yeni bir klasör oluşturamıyorum. Bunun nedeni de; Network üzerinden erişilen paylaşım klasöründe hem Sharing Permission hem de Security Permission gerçeli olarak, her iki taraftadaki izinlerin karşılaştırıldığıdır. Bu noktada da en kısıtlayıcı izinler Security Permission tarafında Read (okuma) olarak tanımlandığı için, Sharing Permission Full Control-Allow olsa dahi, en kısıtlayıcı olan uygulanacaktır.



Örnek Senaryo-2 (Örnek Senaryo-1'in devamı)

17- Active Directory Users and Computers üzerinde daha önceden oluşturmuş olduğum IT isimli Security Group'a Fırat Boyan kullanısını da dahil ediyorum.



17.1- IT isimli Security Group için Full Control-Allow ataması yapıyorum.



17.2- Fırat Boyan kullanıcısı için de bu sefer Full Control-Deny ataması yapıyorum.



17.3- Fırat Boyan kullanıcısı PC01 Host Name'li bilgisayarda tekrar \\Host Name ya da \\IP Adresi üzerinden paylaşıma erişim sağladığımda, kullancımın "IT" isimli Security Group üzerinde Full Control-Allow izni olmasına rağmen gerekli iznimin olmadığı hata bilgisi ile karşılaştım. Bunun nedeni; DENY tanımlanan bir kullanıcı, herhangi bir grup'tan ALLOW iznili olarak gelse dahi DENY, her zaman ALLOW'un üzerinde olmasıdır.



Faydalı olmalı dileğiyle...