Partage de dossiers, imprimantes et permissions (PR23)

Ce que tu sauras faire, par écrit

L'épreuve pratique AMPCR se passe uniquement par écrit (consignes officielles 2026-2027/1, p. 3). Devant une demande de partage, une matrice de droits ou un relevé d'erreur, on attend de toi une configuration justifiée et un diagnostic prouvé, pas une liste de sigles. Tu dois savoir :

1. partager un dossier sous Windows (SMB) et écrire un chemin UNC \\serveur\partage ;
2. régler la découverte du réseau, le profil réseau, le pare-feu et l'authentification ;
3. distinguer permissions de partage et permissions NTFS et calculer la combinaison effective ;
4. choisir entre Lecture, Modification et Contrôle total, et maîtriser l'héritage et les groupes ;
5. partager sous Linux avec Samba, lire les droits rwx et les ACL ;
6. partager une imprimante : file d'attente, accès local ou distant, pilotes, pare-feu, disponibilité de l'hôte ;
7. diagnostiquer : ping OK mais accès refusé, nom du serveur introuvable, droits insuffisants, imprimante hors connexion ;
8. protéger les données avec le principe du moindre privilège.

Ce cours contient 3 procédures illustrées :

1. Partager un dossier sur un serveur Windows (7 étapes)
2. Partager une imprimante (7 étapes)
3. Dépanner l'accès à un partage (8 étapes)

Exigences travaillées dans ce cours

• AP-25 (p. 6) — « Partage de ressources (imprimantes, disques, répertoires…). »
• AP-26 (p. 6) — « Mise en partage sur un réseau informatique de documents et applications. »
• AP-27 (p. 6) — « Les notions de droit et de permission. »

Ce sont des exigences officielles (consignes, p. 6). Le partage entre deux PC a été vu en PR21, les comptes et les groupes en PR22, le dépannage réseau en PR24, les commandes Linux en PR09 et l'UAC en PR10.

Lien avec la théorie

La théorie AMPCR présente les partages et les droits : MC33 Partage de ressources, comptes, droits et permissions et MC10 Windows : administration et commandes essentielles. Ce cours-ci est pratique : schémas, matrices de droits et relevés à analyser et à rédiger, comme dans un dossier d'examen.

Comment travailler ce cours

Lis les chapitres dans l'ordre : chacun donne ses objectifs, la théorie, la procédure professionnelle à rédiger, l'erreur fréquente, ce qu'on attend à l'écrit et un repère rapide, avec un renvoi vers les exercices liés. Étudie ensuite les cinq cas résolus, fais les 20 exercices corrigés (dont quatre schémas à compléter, des matrices de droits et des relevés de commandes), puis passe le mini-examen noté sur 20 dans l'onglet « Examen blanc ».

Important — les personnes, serveurs, dossiers et relevés de ce cours sont des supports fictifs construits pour s'entraîner (rédaction : octobre 2026) ; on reprend le domaine fictif de PR22. Les messages reprennent le format réel de Windows (en français), en version simplifiée. Les menus changent d'une version à l'autre : la documentation de l'éditeur fait foi. Aucun exercice n'est une question officielle ni une question déjà posée par le Jury.

Objectifs : partager un dossier sous Windows et écrire le chemin réseau qui y mène.

1.1 SMB, le protocole des partages Windows

Un partage rend un dossier d'un ordinateur (le serveur) accessible aux autres par le réseau. Windows utilise le protocole SMB (Server Message Block), sur le port TCP 445. Les versions actuelles sont SMB2 et SMB3 (chiffrement possible) ; SMB1 est obsolète, désactivé sur les Windows récents, et ne doit pas être réactivé.

Sur le serveur : clic droit sur le dossier → Propriétés → onglet Partage → Partage avancé → « Partager ce dossier », nom du partage → Autorisations. En commande (administrateur) : net share Compta=D:\Partages\Compta /GRANT:"Utilisateurs authentifiés",CHANGE ou New-SmbShare -Name Compta -Path D:\Partages\Compta -ChangeAccess "Utilisateurs authentifiés". net share sans argument liste les partages du poste ; les partages se terminant par $ (C$, ADMIN$) sont des partages administratifs cachés, réservés aux administrateurs.

1.2 Le chemin UNC

Un chemin UNC (Universal Naming Convention) s'écrit \\serveur\partage\chemin, par exemple \\SRV-FICH\Compta\2026\factures.xlsx ; le serveur peut être désigné par son nom ou par son adresse IP (\\192.168.20.20\Compta\2026\factures.xlsx). Pour un usage quotidien, on associe une lettre de lecteur : net use Z: \\SRV-FICH\Compta /persistent:yes, ou « Connecter un lecteur réseau » dans l'Explorateur. Le serveur de référence de ce cours (SRV-FICH, 192.168.20.20) partage quatre dossiers :

Procédure professionnelle (à rédiger) : dossier sur un volume NTFS → groupes → NTFS → partage (nom court, autorisations) → pare-feu et profil → test par le chemin UNC → fiche.

Erreur fréquente : partager le disque C: entier ; un nom de partage avec espaces et accents qu'on recopie mal ; confondre le nom du partage et le nom du dossier.

À l'écrit : « partage Compta de SRV-FICH = D:\Partages\Compta ; accès \\SRV-FICH\Compta, lecteur Z: ».

Repère rapide : \\serveur\partage\chemin · SMB = TCP 445 · jamais SMB1 · jamais C: entier. Exercices liés : E01, E08 (séquence « Exercices corrigés »).

Objectifs : régler le réseau pour que le partage soit trouvé et que l'utilisateur soit reconnu.

2.1 Profil réseau, découverte et pare-feu

• Profil réseau : Privé (réseau de confiance) ou Domaine (poste membre d'un domaine qui voit son contrôleur) ; Public pour un réseau inconnu (café, gare). Sur le profil Public, le pare-feu bloque le partage de fichiers.
• Découverte du réseau : affiche les ordinateurs dans « Réseau » de l'Explorateur. Elle est pratique, pas indispensable : un chemin UNC tapé directement fonctionne sans elle.
• Partage de fichiers et d'imprimantes : règles du pare-feu Windows qui ouvrent le port TCP 445 sur le serveur (activées avec le partage, sur le profil Privé ou Domaine).
• Un ping refusé ne prouve pas que le serveur est éteint : le pare-feu peut bloquer l'écho ICMP. La preuve décisive pour un partage est le test du port 445 :

PS> Test-NetConnection SRV-FICH -Port 445
ComputerName     : SRV-FICH
RemoteAddress    : 192.168.20.20
RemotePort       : 445
TcpTestSucceeded : True

2.2 Authentification

Ouvrir un partage, c'est s'identifier auprès du serveur :

• en domaine (PR22), le compte du domaine de la session est présenté automatiquement : rien à taper ;
• en groupe de travail, il faut un compte du serveur (SERVEUR\nom) avec mot de passe : Windows refuse par défaut à travers le réseau un compte sans mot de passe, et les versions récentes bloquent l'accès invité (sans compte) ;
• Windows n'utilise qu'un compte par serveur dans une même session (erreur 1219 sinon) ; net use liste les connexions, cmdkey /list les identifiants mémorisés.

Procédure professionnelle (à rédiger) : profil Privé ou Domaine → règle « Partage de fichiers et d'imprimantes » → compte avec mot de passe (ou compte du domaine) → test du port 445 → ouverture du partage.

Erreur fréquente : désactiver le pare-feu « pour que ça marche » ; laisser le serveur en profil Public ; activer l'accès invité ou un compte sans mot de passe.

À l'écrit : « Test-NetConnection SRV-FICH -Port 445 : True ; profil Domaine ; accès avec DUPONT\jmartin ».

Repère rapide : profil Privé/Domaine · port 445 · un compte avec mot de passe · un compte par serveur. Exercices liés : E05, E17 (séquence « Exercices corrigés »).

Objectifs : distinguer les deux ensembles d'autorisations et choisir le bon niveau.

3.1 Deux ensembles d'autorisations

Un dossier partagé est protégé par deux barrières indépendantes :

3.2 Lecture, Modification, Contrôle total

Côté partage, les niveaux s'appellent Lecture, Modifier et Contrôle total ; côté NTFS, on utilise surtout Lecture et exécution (Lecture), Modification et Contrôle total. Écriture seule (créer sans pouvoir supprimer ni lire) est rare. Chaque case peut être Autoriser ou Refuser.

Les autorisations NTFS du serveur de référence (Administrateurs : Contrôle total sur D:\Partages, hérité partout sauf là où l'héritage est désactivé) :

Pour lire ou modifier en commande : icacls D:\Partages\Compta ; icacls D:\Partages\Compta /grant "DUPONT\G_Compta:(OI)(CI)M".

Procédure professionnelle (à rédiger) : lister qui doit lire, qui doit modifier → un groupe par besoin → NTFS aux groupes (Modification ou Lecture et exécution) → Contrôle total aux seuls administrateurs → retirer Tout le monde.

Erreur fréquente : donner Contrôle total à une équipe (elle peut changer les droits) ; régler l'onglet Partage et oublier l'onglet Sécurité, ou l'inverse.

À l'écrit : « Compta : G_Compta Modification, G_Direction Lecture et exécution, Administrateurs Contrôle total ».

Repère rapide : deux barrières · Lecture < Modification < Contrôle total · Contrôle total = administrateurs. Exercices liés : E04, E12 (séquence « Exercices corrigés »).

Objectifs : calculer l'accès réel d'un compte et organiser les droits par groupes et par héritage.

4.1 La règle de combinaison

1. Dans chaque barrière, les autorisations des groupes du compte se cumulent : le droit le plus fort compte. Un refus explicite (posé sur le dossier) l'emporte sur toutes les autorisations ; une autorisation explicite l'emporte sur un refus hérité.
2. Entre les deux barrières, par le réseau, c'est la plus restrictive qui s'applique.
3. En session ouverte sur le serveur (localement ou par bureau à distance), le partage n'intervient pas : NTFS seul.

Julie, sur Archives : partage Lecture, NTFS Modification → Lecture par le réseau, Modification sur le serveur. Pratique courante (Microsoft) : autorisation de partage large pour les utilisateurs authentifiés (Modifier ou Contrôle total) et détail dans NTFS ; régler les deux de façon identique est aussi juste. Ce qui compte : savoir laquelle limite.

4.2 La matrice des droits

On résume tout dans une matrice comptes × dossiers, que l'on remet au client. Celle du serveur de référence (calculée depuis les tableaux du chapitre 3) :

4.3 Héritage et groupes

Un sous-dossier hérite des autorisations de son parent (marque (I) dans icacls). Pour un dossier confidentiel (Paie), on désactive l'héritage (Sécurité → Avancé → Désactiver l'héritage → convertir en autorisations explicites ; ou icacls … /inheritance:d), puis on retire les groupes non autorisés.

Comme en PR22 : les droits vont aux groupes, les comptes dans les groupes ; un ajout à un groupe compte à la prochaine ouverture de session.

Procédure professionnelle (à rédiger) : pour chaque compte et chaque dossier, droit du partage → droit NTFS (posé + hérité) → le plus faible → matrice → test avec un compte de chaque groupe.

Erreur fréquente : oublier que le sous-dossier hérite ; ajouter un refus au lieu de ne pas accorder ; calculer en local un accès qui se fait par le réseau.

À l'écrit : « Claire sur Compta : partage Modification, NTFS Lecture → Lecture ; c'est NTFS qui limite ».

Repère rapide : cumul dans une barrière · refus explicite gagne · par le réseau la plus restrictive · en local NTFS seul. Exercices liés : E09, E12, E13, E14, E15 (séquence « Exercices corrigés »).

Objectifs : lire les droits Unix d'un dossier partagé par Samba et les ajuster. (Complément du programme : Linux est cité comme alternative ; voir aussi PR09.)

5.1 Les droits rwx

ls -ld affiche le type, puis trois triplets rwx : propriétaire, groupe, autres. Pour un dossier : r = lister, w = créer et supprimer, x = entrer (indispensable pour r et w). Les classes ne se cumulent pas : la première qui correspond (propriétaire, puis groupe, puis autres) s'applique. En octal : r = 4, w = 2, x = 1 ; chmod 2770 = setgid + rwx propriétaire + rwx groupe + rien pour les autres (drwxrws---) ; chmod 750 = drwxr-x---.

admin@nas-lin:/srv/partages$ ls -ld compta
drwxrws---+ 2 root compta 4096 oct. 27 09:12 compta

5.2 Les ACL

Une ACL (liste de contrôle d'accès) ajoute des entrées pour d'autres groupes ou utilisateurs, signalées par un + après les droits : setfacl -m g:direction:r-x compta (et setfacl -d -m … pour les fichiers créés ensuite), lecture avec getfacl.

admin@nas-lin:/srv/partages$ getfacl compta
# file: compta
# owner: root
# group: compta
# flags: -s-
user::rwx
group::rwx
group:direction:r-x
mask::rwx
other::---

5.3 Samba

Samba fait parler SMB à un serveur Linux : les postes Windows y accèdent par \\NAS-LIN\compta. Partage dans /etc/samba/smb.conf, vérification par testparm, rechargement par sudo systemctl reload smbd ; chaque utilisateur reçoit un mot de passe Samba (sudo smbpasswd -a marie).

[compta]
   path = /srv/partages/compta
   valid users = @compta @direction
   read only = yes
   write list = @compta

Comme sous Windows, deux barrières : la règle Samba (valid users, read only, write list) et les droits Unix ; l'accès réel est le plus restrictif des deux.

Procédure professionnelle (à rédiger) : groupe Unix → dossier chown root:groupe, chmod 2770 → ACL pour les lecteurs → section smb.conf → testparm → smbpasswd -a → rechargement → test depuis un poste Windows.

Erreur fréquente : chmod 777 « pour que ça marche » ; modifier smb.conf sans les droits Unix (ou l'inverse) ; oublier smbpasswd -a.

À l'écrit : « /srv/partages/compta : drwxrws---+ root compta + ACL direction r-x ; Samba write list = @compta → marie modification, paul lecture, sam aucun accès ».

Repère rapide : propriétaire / groupe / autres · r=4 w=2 x=1 · + = ACL · Samba ET Unix. Exercices liés : E07, E11, E19 (séquence « Exercices corrigés »).

Objectifs : partager une imprimante, choisir où se trouve la file d'attente et connecter les postes.

6.1 Trois façons de rendre une imprimante disponible

6.2 File d'attente, accès local ou distant

• La file d'attente (service Spouleur d'impression) se trouve sur l'hôte qui partage : c'est lui qui reçoit les documents et les envoie à l'imprimante. Accès local : l'imprimante est branchée ou installée sur le poste lui-même ; accès distant : le poste envoie à la file d'un autre ordinateur (\\PC-ACCUEIL\Laser-Accueil).
• Une imprimante USB partagée n'imprime que si son poste hôte est allumé.
• Une imprimante réseau garde une adresse fixe (ou une réservation DHCP) : le port d'impression (IP_192.168.20.50, port 9100 ou IPP 631) pointe vers elle.

6.3 Partager, pilotes, droits et pare-feu

• Partager : Paramètres → Bluetooth et appareils → Imprimantes et scanners → l'imprimante → Propriétés de l'imprimante → onglet Partage → « Partager cette imprimante », nom court.
• Pilotes : le poste client reçoit le pilote de l'hôte ; depuis la mise à jour de sécurité d'août 2021, cette installation demande par défaut un administrateur. On installe les pilotes 64 bits du bon modèle.
• Droits (onglet Sécurité de l'imprimante) : Imprimer, Gérer les documents, Gérer cette imprimante ; par défaut, Tout le monde peut imprimer.
• Pare-feu : règle « Partage de fichiers et d'imprimantes » sur le profil Privé ou Domaine.

Procédure professionnelle (à rédiger) : installer sur l'hôte → adresse fixe → partager → droits → pare-feu → connecter les postes → page de test.

Erreur fréquente : partager l'imprimante d'un poste qu'on éteint le soir ; laisser l'imprimante réseau en DHCP sans réservation ; donner les droits d'administration à un utilisateur pour installer un pilote.

À l'écrit : « IMP-COMPTA : 192.168.20.50 réservée, partagée par SRV-FICH (\\SRV-FICH\IMP-COMPTA), Imprimer pour G_Compta ».

Repère rapide : hôte allumé · adresse fixe · pilote par un administrateur · Imprimer par groupe. Exercices liés : E02, E06, E10 (séquence « Exercices corrigés »).

Objectifs : trouver pourquoi un partage ne s'ouvre pas, dans l'ordre, preuves à l'appui.

7.1 L'ordre des contrôles

Du plus général (le serveur répond-il ?) au plus particulier (les permissions) :

7.2 Les quatre situations du programme

• Ping OK mais accès refusé : le réseau et le serveur vont bien. « Accès refusé » prouve que le serveur a répondu et refusé : « Erreur système 5 » dès net use si c'est le partage qui refuse, refus à l'ouverture du dossier si c'est NTFS (la connexion au partage ne vérifie que ses propres autorisations). On calcule l'accès effectif (partage + NTFS) ; si le port 445 ne répond pas, c'est le pare-feu ou le profil réseau.
• Nom du serveur introuvable : on essaie par l'adresse IP (\\192.168.20.20\Compta). Si ça marche, la panne est la résolution du nom (DNS du poste, PR24).
• Droits insuffisants : le partage s'ouvre mais l'enregistrement est refusé : quelle barrière limite ? groupe présent dans la session (whoami /groups) ?
• Imprimante hors connexion : voir le chapitre 8.

7.3 Lire les messages

net view \\SRV-FICH liste les partages réellement disponibles :

C:\> net view \\SRV-FICH
Ressources partagées de \\SRV-FICH

Nom du partage  Type
------------------------------
Commun          Disque
Compta          Disque
Direction       Disque
Archives        Disque
La commande s'est terminée correctement.

Procédure professionnelle (à rédiger) : message exact → par l'adresse IP → par le nom → port 445 → net view → compte → accès effectif → corriger → tester lecture et écriture → consigner.

Erreur fréquente : donner Contrôle total à tout le monde alors que le nom n'est pas résolu ; remplacer définitivement le nom par l'adresse IP (la panne DNS reste) ; désactiver le pare-feu.

À l'écrit : « \\192.168.20.20\Commun OK, \\SRV-FICH\Commun KO → DNS du poste = box ; DNS corrigé, nslookup SRV-FICH = 192.168.20.20 ».

Repère rapide : IP → nom → port 445 → partage → compte → droits. Exercices liés : E03, E05, E15, E16, E17 (séquence « Exercices corrigés »).

Objectifs : dépanner une imprimante partagée « hors connexion » ou qui n'imprime pas.

8.1 L'ordre des contrôles

8.2 Imprimante hors connexion

Causes les plus fréquentes : poste hôte éteint (imprimante USB partagée) ; imprimante éteinte ou en erreur (papier, bourrage) ; imprimante réseau qui a changé d'adresse (DHCP sans réservation) : le port pointe vers l'ancienne adresse. On compare l'adresse du port (Get-Printer, propriétés → Ports) à celle de la page de configuration imprimée par l'imprimante, puis on fixe l'adresse.

8.3 File d'attente bloquée

Un document en erreur bloque toute la file. On arrête le spouleur, on vide le dossier des travaux en attente, on le redémarre (en invite administrateur) ; les documents en attente sont perdus : on prévient les utilisateurs.

C:\> net stop spooler
Le service Spouleur d'impression s'arrête.
Le service Spouleur d'impression a été arrêté.
C:\> del /q C:\Windows\System32\spool\PRINTERS\*
C:\> net start spooler
Le service Spouleur d'impression a démarré.

Procédure professionnelle (à rédiger) : hôte allumé ? → imprimante prête, bonne adresse ? → file et spouleur → pilote → droit Imprimer → page de test → consigner.

Erreur fréquente : réinstaller le pilote alors que l'adresse a changé ; supprimer et recréer l'imprimante sur chaque poste au lieu de corriger le port une fois sur le serveur d'impression.

À l'écrit : « IMP-COMPTA hors connexion : port 192.168.20.50, imprimante en 192.168.20.117 (DHCP) ; réservation créée, page de test OK ».

Repère rapide : hôte · imprimante et adresse · file · pilote · droit. Exercices liés : E06, E18 (séquence « Exercices corrigés »).

Objectifs : protéger les données partagées et appliquer le moindre privilège.

9.1 Moindre privilège

Chaque compte reçoit les seuls droits nécessaires, le temps nécessaire : Lecture plutôt que Modification si on ne fait que consulter, Contrôle total réservé aux administrateurs, droits aux groupes revus aux arrivées et aux départs. On n'accorde pas plutôt que de refuser : les refus se propagent par l'héritage et bloquent des personnes par erreur.

9.2 Protéger les données

• Retirer Tout le monde des dossiers sensibles ; jamais « Tout le monde : Contrôle total » à la fois sur le partage et dans NTFS.
• Ne pas partager un disque entier (C:) ; partager un dossier dédié.
• Données personnelles (clients, salaires) : dossier à accès limité, héritage désactivé si besoin.
• Sauvegarde régulière et testée du serveur (un rançongiciel chiffre tout ce que le compte infecté peut modifier : moins de droits = moins de dégâts).
• Pas de SMB1, pas d'accès invité, comptes nominatifs avec mot de passe.
• Matrice des droits écrite, remise au client, revue régulièrement.

Procédure professionnelle (à rédiger) : inventaire des dossiers sensibles → qui doit y accéder et comment → groupes → autorisations minimales → sauvegarde → matrice écrite → revue.

Erreur fréquente : « tout le monde administrateur » ou « Tout le monde : Contrôle total » pour éviter les appels ; partage du disque C: « pour dépanner » ; aucune sauvegarde.

À l'écrit : « Clients : G_Agents Modification, Administrateurs Contrôle total, Tout le monde retiré ; sauvegarde quotidienne testée ; partage de C: supprimé ».

Repère rapide : le minimum nécessaire · groupes · pas de Tout le monde · pas de disque entier · sauvegarde testée. Exercices liés : E14, E20 (séquence « Exercices corrigés »).