Permissões de pastas e arquivos

Um usuário que abre a pasta e não consegue salvar, um arquivo movido que só uma pessoa consegue abrir e um compartilhamento que funcionava sem senha e passou a recusar a conexão envolvem as permissões e a identificação das contas. Cada arquivo e cada pasta do disco guardam uma lista que define quais contas podem fazer o quê, e o acesso pela rede ainda passa pelas permissões do compartilhamento.

As permissões do NTFS

O NTFS é o sistema de arquivos dos discos do Windows. Ele guarda, para cada pasta e cada arquivo, uma lista de permissões, mostrada na aba Segurança das propriedades. As permissões básicas são estas:

• Controle total: todas as ações, inclusive alterar as permissões e assumir a posse;
• Modificar: ler, gravar, criar e apagar;
• Ler e executar: abrir os arquivos e executar os programas;
• Listar conteúdo da pasta: ver os nomes dos arquivos e das subpastas;
• Leitura: abrir os arquivos e ver os atributos;
• Gravar: criar arquivos e alterar o conteúdo, sem apagar.

As permissões costumam ser dadas a grupos, e não a pessoas. Os grupos mais comuns são Administradores, Usuários, Usuários Autenticados e Todos, além da conta SYSTEM, a conta do Sistema Local, usada pelo Windows e por muitos serviços. Uma conta recebe a soma das permissões dadas a ela e aos grupos de que faz parte.

A permissão Negar é a exceção a essa soma. Uma negação dada diretamente na pasta prevalece sobre qualquer permissão concedida, e uma negação ao grupo Todos bloqueia também os administradores, que fazem parte desse grupo.

A herança

As permissões de uma pasta passam para as subpastas e para os arquivos criados dentro dela. Esse mecanismo se chama herança, e as permissões herdadas aparecem na aba Segurança com as caixas acinzentadas, sem poder ser alteradas ali. O botão Avançadas permite desabilitar a herança de uma pasta, que passa a ter só as permissões definidas nela.

A herança explica a diferença entre copiar e mover:

• um arquivo copiado recebe as permissões da pasta de destino;
• um arquivo movido para outra pasta da mesma unidade mantém as permissões que tinha na origem;
• um arquivo movido para outra unidade recebe as permissões da pasta de destino.

Um relatório gravado na Área de Trabalho de um usuário e movido para uma pasta compartilhada da mesma unidade continua com as permissões do perfil desse usuário. Os outros usuários veem o arquivo, mas recebem acesso negado ao abrir, e o comando icacls com a opção /reset devolve ao arquivo as permissões herdadas da pasta.

O proprietário

Cada arquivo e cada pasta têm um proprietário, em geral a conta que os criou. O proprietário pode alterar as permissões mesmo sem ter acesso ao conteúdo, e um administrador pode assumir a posse de qualquer arquivo para recuperar o acesso, pela opção Alterar, ao lado do nome do proprietário, na janela Avançadas.

Um administrador que abre pelo Explorador de Arquivos uma pasta liberada só para o grupo Administradores recebe a mensagem de que não tem permissão, com o botão Continuar. O botão concede o acesso acrescentando a conta desse administrador às permissões da pasta, e a alteração fica gravada de forma permanente.

As permissões do compartilhamento

O acesso pela rede passa por dois filtros: as permissões do compartilhamento e as permissões do NTFS. O compartilhamento tem só três níveis, leitura, alteração e controle total, e o acesso pela rede fica limitado ao mais restritivo dos dois filtros.

No compartilhamento avançado, a permissão padrão é de leitura para o grupo Todos. Uma pasta compartilhada assim abre nas estações, mas recusa a gravação, mesmo quando a aba Segurança dá a permissão Modificar ao usuário. Uma prática comum é dar o controle total no compartilhamento e controlar o acesso de fato pelas permissões do NTFS.

Quem acessa a pasta no próprio servidor não passa pelo filtro do compartilhamento. Por isso, um teste feito no servidor pode funcionar, e o mesmo acesso pela rede falhar.

Quem acessa pela rede

Em uma rede sem domínio, cada computador tem as próprias contas. Quando uma estação acessa o servidor da loja, o servidor confere o usuário e a senha nas contas dele:

• se o servidor tem uma conta com o mesmo nome e a mesma senha do usuário da estação, o acesso acontece sem pedir a senha;
• se não tem, o Windows pede um usuário e uma senha do servidor, que podem ser gravados no Gerenciador de Credenciais da estação.

O comando cmdkey /list lista as credenciais gravadas na estação. Uma credencial antiga, com uma senha que mudou no servidor, faz o acesso falhar até ser atualizada ou removida.

Quando o compartilhamento protegido por senha está desativado no servidor, as estações entram como convidado, sem usuário e senha. Nas edições Enterprise e Education e nas versões recentes do Windows 11 Pro, esse acesso como convidado vem bloqueado na estação. Um compartilhamento que funcionava sem pedir senha passa a recusar a conexão depois da atualização da estação, e a solução segura é criar no servidor uma conta para esse acesso, em vez de liberar de novo o acesso de convidado.

Conferir as permissões

A janela Avançadas tem a aba Acesso Efetivo, que calcula as permissões de uma conta escolhida, somando os grupos e as negações. No prompt de comando, as permissões são conferidas e alteradas com estes comandos:

• whoami /groups: lista os grupos da conta em uso;
• icacls C:\Integracao\entrada: lista as permissões da pasta;
• icacls C:\Integracao\entrada /grant "caixa:(OI)(CI)M": dá à conta caixa a permissão Modificar na pasta, herdada pelas subpastas e pelos arquivos.

Na saída do icacls, as letras resumem as permissões: F é o controle total, M é modificar, RX é ler e executar, R é leitura e W é gravar. As marcas (OI) e (CI) indicam a herança para os arquivos e para as subpastas, e a marca (I) indica uma permissão herdada.