Quản lý quyền truy cập

[dangquangminh]

Quản lý quyền truy cập trên Volume trong Windows Server (NTFS và ReFS)


Khi chúng ta triển khai file server trên Windows Server, một trong những nhiệm vụ quan trọng nhất của người System Administrator là kiểm soát quyền truy cập dữ liệu. Dù bạn đang dùng NTFS hay ReFS, Windows đều cung cấp cơ chế phân quyền rất mạnh để kiểm soát ai được phép làm gì với file và thư mục.
Điểm quan trọng mà các bạn cần nắm là nhiều sự cố “không truy cập được folder”, “copy file bị từ chối”, hay “admin không hiểu vì sao user bị block” thường xuất phát từ việc hiểu chưa đúng permission model. Bài viết này sẽ giải thích cặn kẽ vấn đề phân quyền truy cập trên máy chủ Windows Server.
1. Permission có thể gán cho ai?
Windows cho phép chúng ta phân quyền cho:

• User account

• Group

• Computer account

Ví dụ:

• User alice

• Group Accounting

• Computer PC-SALES-01

Trong thực tế, best practice là gán quyền cho Group thay vì từng user riêng lẻ để chúng ta dễ quản trị về sau. Ví dụ cụ thể như sau:
Không nên:

• Alice = Read

• Bob = Modify

• Charlie = Read

Nên:

• Group Accounting = Modify

• Alice, Bob, Charlie là thành viên group này

Cách này giúp quá trình onboarding/offboarding người dùng nhanh hơn rất nhiều.

2. Permission mang tính cộng dồn (Cumulative Permissions)
Nếu user thuộc nhiều group, quyền sẽ được cộng dồn.
Ví dụ:
User Minh thuộc:

• Group A → Read

• Group B → Modify

Kết quả sau cùng:
Minh có Modify Vì quyền Modify bao gồm Read. Đây chính là lý do khi troubleshooting permission, bạn phải kiểm tra toàn bộ group membership, không chỉ quyền gán trực tiếp cho user.

3. Permission có thể gán ở đâu?
Windows cho phép phân quyền ở nhiều cấp:
File level
Ví dụ:

• salary.xlsx

Chỉ file này bị giới hạn truy cập.

Folder level
Ví dụ:

• D:\Finance

Tất cả file bên trong có thể kế thừa quyền.

Volume level (root folder)
Ví dụ:

• D:\

Toàn bộ volume chịu ảnh hưởng.
Đây là nơi admin thường cấu hình permission gốc cho data volume.

4. Allow vs Deny — hiểu đúng để tránh “tự khóa cửa”
Windows có hai kiểu quyền:
Allow
Cho phép hành động.
Ví dụ:

• Read

• Write

• Modify

Deny
Chặn hành động.
Quan trọng:
Deny luôn ưu tiên hơn Allow
Ví dụ:
User thuộc:

• Group A → Allow Modify

• Group B → Deny Write

Kết quả:
User bị chặn Write.
Vì Deny thắng.
Đây là lý do trong môi trường mạng doanh nghiệp enterprise, admin thường hạn chế dùng Deny nếu không thực sự cần thiết, vì dễ gây quá trình troubleshooting thành ác mộng.

5. Basic Permissions
Các quyền cơ bản thường gặp:
Full Control
Toàn quyền:

• đọc

• ghi

• sửa

• xóa

• đổi permission

• takeover ownership

Modify
Có thể:

• đọc

• ghi

• sửa

• xóa

Nhưng không đổi permission.

Read & Execute
Có thể:

• đọc file

• chạy executable

List Folder Contents
Cho phép xem nội dung folder.

Read
Chỉ đọc.

Write
Chỉ ghi/tạo file.

6. Advanced Permissions
Nếu cần kiểm soát sâu hơn (granular control), bạn hãy dùng Advanced Security Settings.
Ví dụ:

• Delete Subfolders

• Change Permissions

• Take Ownership

• Traverse Folder

• Append Data

• Create Files

• Create Folders

Đây là nơi enterprise admin tinh chỉnh rất sâu.

7. NTFS vs ReFS về permission
Về mặt kiểm soát truy cập - access control:

• NTFS hỗ trợ ACL đầy đủ

• ReFS cũng dùng ACL tương tự

Nghĩa là logic phân quyền gần như giống nhau. Khác biệt chính giữa hai filesystem nằm ở:

• integrity

• resiliency

• corruption protection

• scalability

Không nằm ở permission model.

8. Kinh nghiệm thực chiến
Nếu người dùng báo:
"Em có quyền mà vẫn không vào được folder"
Hãy theo Checklist sau:

• User thuộc group nào?

• Có inherited permission không?

• Có explicit Deny không?

• Share permission có conflict với NTFS permission không?

• Effective Access là gì?

Bạn hãy Truy cập Công cụ rất hữu ích này:
Folder Properties → Security → Advanced → Effective Access
Windows sẽ tính toán quyền thực tế của user.

Best Practice sau cùng
Trong môi trường doanh nghiệp, hãy Dùng mô hình:
AGDLP

• Accounts

• Global Groups

• Domain Local Groups

• Permissions

Flow:
User → Global Group → Domain Local Group → Folder Permission
Đây là mô hình chuẩn trong Active Directory.

Nếu nhớ đúng 1 câu:
Allow cộng dồn, nhưng Deny luôn thắng.