🔐 permisos de Windows sin confusiones: quién accede, a qué y desde dónde

PARA ENTENDER EL ESQUEMA

Sobre esta infografía

«Tiene permisos, pero no puede entrar».
«En el servidor funciona, pero desde su equipo no».
«Le he dado escritura y sigue sin poder borrar».

Detrás de estas situaciones suelen estar los permisos NTFS, los grupos, la herencia y los permisos de compartición.

He preparado esta infografía animada para Infograph para explicar cómo encajan todas estas piezas. 👇

👤 1. usuarios y grupos: el punto de partida

Windows identifica las cuentas y los grupos mediante un SID, su identificador de seguridad.

Al comprobar un acceso, considera la identidad del usuario y los grupos presentes en su token de acceso.

Por eso conviene asignar permisos a grupos y gestionar quién pertenece a ellos. Por ejemplo: Ventas_Lectura y Ventas_Modificar.

📁 2. NTFS: qué puedes hacer con los archivos

Los permisos NTFS protegen archivos y carpetas tanto en acceso local como por red.

• Leer: consultar contenido.
• Leer y ejecutar: leer y ejecutar archivos.
• Escribir: crear y escribir.
• Modificar: permite también eliminar.
• Control total: incluye administrar permisos.

Una diferencia fundamental: escribir no equivale a modificar.

Cada regla es una ACE. La lista que reúne las reglas de acceso es la DACL.

🌳 3. herencia: de la carpeta superior a sus hijos

Una carpeta puede transmitir permisos a sus subcarpetas y archivos.

Los permisos heredados proceden de un nivel superior. Los explícitos se asignan directamente al objeto.

También importa el ámbito: una regla puede afectar a esta carpeta, a sus subcarpetas, a sus archivos o a una combinación.

Desactivar la herencia permite convertir las reglas heredadas en explícitas o eliminarlas. Hay que revisar cuál de las dos opciones elegimos.

🧩 4. permisos efectivos: el resultado de combinar reglas

Los permisos permitidos pueden acumularse entre grupos.

Ejemplo: un grupo permite leer y otro escribir. Sin denegaciones aplicables, el usuario puede leer y escribir.

Pero «denegar siempre gana» es una simplificación: Windows evalúa una lista ordenada. Las reglas explícitas preceden a las heredadas y, dentro del nivel correspondiente, se sitúan las denegaciones antes que los permisos permitidos.

🌐 5. por red: debes superar dos puertas

Al acceder mediante SMB a una carpeta en NTFS, cuentan los permisos de compartición y los NTFS.

Cada operación debe estar permitida en ambos.

Ejemplos sin denegaciones:

• Compartido: Lectura + NTFS: Modificar → por red, Lectura.
• Compartido: Cambiar + NTFS: Lectura → por red, Lectura.
• Compartido: Cambiar + NTFS: Modificar → por red, Modificar.

En acceso local no se aplican los permisos de compartición.

🔎 6. cómo investigar un «acceso denegado»

Comprueba la cuenta con whoami /user y sus grupos con whoami /groups.

Revisa las reglas con icacls "C:\Datos" y consulta Seguridad → Opciones avanzadas → Acceso efectivo.

Si accedes por red, revisa también la compartición y las credenciales de la sesión SMB.

💡 Menor privilegio, permisos por grupos, herencia planificada y comprobación del acceso real.

¿Dónde encuentras más problemas: en la herencia o al combinar NTFS y compartición?

👉 Más infografías en https://www.palentino.es/infograph/

#Windows #NTFS #Ciberseguridad #AdministracionDeSistemas #Infograph