Udostępnienie nie działa dla grup lokalnych

Udostępnienie niedziałające dla grup lokalnych wskazuje na brak dodania grupy zabezpieczeń do listy uprawnień udostępniania.

Dlaczego udostępniony folder nie rozpoznaje grupy lokalnej

Komunikat „Udostępnienie nie działa dla grup lokalnych” zwykle oznacza, że grupa zabezpieczeń utworzona na komputerze nie została dodana do listy uprawnień udziału sieciowego albo do uprawnień systemu plików NTFS. W systemie Windows dostęp do folderu udostępnionego jest oceniany co najmniej na dwóch poziomach. Pierwszy stanowią uprawnienia udostępniania, konfigurowane na karcie „Udostępnianie” lub „Udostępnianie zaawansowane”. Drugi stanowią uprawnienia NTFS na karcie „Zabezpieczenia”. Użytkownik może należeć do lokalnej grupy, ale sama grupa nie zapewni dostępu, jeżeli nie występuje w żadnej z tych list.

Ważne jest rozróżnienie grupy lokalnej od grupy domenowej oraz grupy utworzonej w aplikacji lub w chmurze. Lokalna grupa zabezpieczeń istnieje tylko w bazie kont danego komputera. Jej nazwa, członkowie i identyfikator zabezpieczeń SID nie są automatycznie takie same na innych komputerach. Z tego powodu grupa utworzona na komputerze udostępniającym zasób może nie być poprawnie rozpoznana podczas próby logowania z drugiego urządzenia. Samo wpisanie identycznej nazwy grupy na obu komputerach nie tworzy tej samej tożsamości zabezpieczeń.

Uprawnienia udziału SMB i zabezpieczenia NTFS

Udział sieciowy Windows korzysta z protokołu SMB, natomiast sprawdzenie prawa do pliku odbywa się również przez mechanizm kontroli dostępu systemu plików. Uprawnienia udziału ograniczają dostęp do zasobu przez sieć, a uprawnienia NTFS określają, jakie operacje są dozwolone na folderze i plikach. Jeżeli użytkownik uzyska dostęp przez udział, ale nie ma odpowiednich uprawnień NTFS, odczyt lub zapis zostanie zablokowany. Jeżeli uprawnienia NTFS są szerokie, lecz udział nie zezwala na daną operację, również nie będzie można jej wykonać.

Przy ustalaniu efektywnego dostępu Windows uwzględnia między innymi członkostwo użytkownika w grupach, wpisy zezwalające oraz wpisy odmawiające. Jawne „Odmów” może przeważyć nad zezwoleniem, dlatego nie powinno się dodawać przypadkowych wyjątków bez sprawdzenia istniejącej listy ACL. W praktyce bezpieczniejszym rozwiązaniem jest dodanie grupy zabezpieczeń do udziału i do uprawnień NTFS, a następnie nadanie jej tylko wymaganego poziomu, na przykład odczytu albo modyfikacji. Uprawnienia „Pełna kontrola” powinny być pozostawione dla sytuacji, w których rzeczywiście potrzebne jest także zmienianie uprawnień.

Sprawdzenie nazwy grupy, członkostwa i konta logowania

Najpierw należy ustalić, na którym komputerze grupa została utworzona i jaką ma dokładnie nazwę. W przypadku lokalnych kont często stosuje się zapis w rodzaju NAZWA-KOMPUTERA\NazwaGrupy. Podczas dodawania grupy do listy uprawnień można użyć przycisku „Sprawdź nazwy”, aby Windows zweryfikował, czy wskazany obiekt istnieje w lokalnej bazie zabezpieczeń. Jeżeli system nie znajduje grupy, przyczyną może być literówka, użycie niewłaściwego komputera jako źródła wyszukiwania albo próba wskazania grupy z innego urządzenia.

Następnie trzeba sprawdzić, czy konto używane przy łączeniu z udziałem rzeczywiście należy do tej grupy. Zmiana członkostwa może wymagać wylogowania i ponownego zalogowania, ponieważ token dostępu utworzony wcześniej może nie zawierać nowych grup. Należy również zweryfikować, czy połączenie z udziałem nie korzysta ze starych poświadczeń zapisanych w Menedżerze poświadczeń. Windows może ponownie używać niewłaściwego konta, mimo że użytkownik podał poprawne hasło. Pomocne jest rozłączenie istniejącego połączenia z udziałem, zamknięcie aktywnych sesji i ponowne uwierzytelnienie przy użyciu konta z komputera udostępniającego.

Praktyczna kolejność naprawy problemu z grupą lokalną

Diagnostykę warto rozpocząć od sprawdzenia, czy komputer udostępniający folder jest osiągalny w sieci i czy udział otwiera się po ścieżce UNC, na przykład \\NAZWA-KOMPUTERA\NazwaUdziału. Jeżeli udział nie jest widoczny lub pojawia się błąd połączenia, problem może dotyczyć zapory sieciowej, profilu sieciowego albo usługi odpowiedzialnej za udostępnianie plików. Jeżeli folder jest widoczny, lecz dostęp jest odrzucany, należy porównać wpisy na kartach „Udostępnianie” i „Zabezpieczenia”, sprawdzić członkostwo konta w grupie oraz ustalić, czy nie istnieje konflikt z wpisem „Odmów”.

Po zmianie uprawnień trzeba ponownie wykonać próbę z konta, które ma być używane w normalnej pracy, a nie wyłącznie z konta administratora. Pozwala to wykryć sytuację, w której administrator ma dostęp dzięki dodatkowemu członkostwu, natomiast zwykły użytkownik nadal jest blokowany. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów i komputerów PC, w tym diagnostykę problemów z konfiguracją systemu Windows, dostępem do zasobów sieciowych oraz uprawnieniami na komputerze użytkownika.