Windows gestiona el acceso a una carpeta en red con dos sistemas de permisos independientes, no uno solo. Es una de esas cosas que no salta a la vista hasta que te encuentras con el caso concreto: un usuario tiene “todo permitido” en un sitio, pero le sigue saliendo acceso denegado. La explicación casi siempre es la misma — las dos capas no dicen lo mismo, y gana la más estricta.
NTFS: qué es y qué papel juega aquí
NTFS (New Technology File System) es el sistema de archivos que usa Windows para organizar cómo se guardan los datos en el disco. Además de esa función de almacenamiento, NTFS lleva incorporado su propio sistema de permisos: cada archivo y carpeta tiene una lista de control de acceso (ACL) que define qué usuarios o grupos pueden leer, escribir o ejecutar sobre ese elemento.
Lo importante de los permisos NTFS es que se aplican siempre, sin importar cómo se acceda al archivo — tanto si te sientas físicamente delante del equipo, como si entras desde otro ordenador a través de la red.
Permisos de compartición: la segunda capa, y solo para la red
Los permisos de compartición (o share permissions, gestionados en Windows a través de SMB) son un sistema completamente distinto, que solo entra en juego cuando se accede a través de la red, nunca en local. Se configuran al compartir una carpeta, y sus niveles son más simples que los de NTFS: básicamente Lectura, Cambiar y Control total.
La regla que lo explica todo: gana el más restrictivo
Cuando alguien accede a una carpeta compartida por red, tiene que pasar los dos filtros, y el nivel de acceso final es siempre el más restrictivo de los dos, nunca el más permisivo.
| Permiso de compartición | Permiso NTFS | Acceso real resultante |
|---|---|---|
| Control total | Solo lectura | Solo lectura |
| Solo lectura | Control total | Solo lectura |
| Cambiar | Cambiar | Cambiar |
| Control total | Control total | Control total |
Esta tabla es la que explica el caso que más confunde a quien empieza: dar “Control total” en la compartición no sirve de nada si los permisos NTFS de esa carpeta son de solo lectura para ese usuario. El resultado siempre se queda con la opción más estricta.
Por qué existen dos capas en vez de una sola
Puede parecer una complicación innecesaria, pero responde a un motivo real: los permisos de compartición controlan el acceso a través de la red de forma rápida y sencilla, mientras que NTFS permite un control mucho más granular (por carpeta, por subcarpeta, por archivo individual, con herencia de permisos) que se aplica de forma consistente sin importar cómo se llegue al recurso. Separar ambas capas permite, por ejemplo, dejar el permiso de compartición abierto (“Control total” para todo el mundo) y confiar en NTFS para el control fino real, algo bastante habitual en entornos de empresa.
El enfoque más simple, y el que más se recomienda en la práctica
Precisamente porque gestionar dos capas a la vez multiplica la posibilidad de error, una práctica extendida en administración de sistemas es:
- Dejar el permiso de compartición en Control total para el grupo “Todos” (o el grupo relevante).
- Controlar el acceso real únicamente a través de los permisos NTFS.
Así solo hay que pensar en un sistema de permisos, no en dos combinándose entre sí — reduce drásticamente la posibilidad de un “acceso denegado” que no se entiende a simple vista.
Cómo diagnosticar un problema de acceso con esta información
Cuando un usuario reporta que no puede acceder (o que tiene más acceso del que debería) a un recurso compartido, el proceso de diagnóstico correcto es:
- Comprobar los permisos de compartición con
Get-SmbShareAccess. - Comprobar los permisos NTFS de la carpeta con
Get-Acl. - Identificar cuál de los dos es más restrictivo — ese es el que está determinando el comportamiento real.
Saltarse alguno de estos dos pasos es la causa más habitual de perder tiempo buscando un problema que, en realidad, está a la vista en cuanto se revisan ambas capas por separado.
Pon a prueba lo que has entendido
Un recurso tiene permiso de compartición "Solo lectura" y permiso NTFS "Control total" para el mismo usuario. ¿Qué puede hacer ese usuario accediendo por red?
Resumen rápido
- NTFS gestiona permisos que se aplican siempre, en local y en red. Los permisos de compartición solo se aplican al acceder por red.
- El acceso final siempre es el más restrictivo de las dos capas, nunca el más permisivo.
- Un enfoque habitual en la práctica: dejar la compartición abierta y controlar el acceso real solo con NTFS, para simplificar la gestión.
- Para diagnosticar un problema de acceso, siempre hay que revisar ambas capas por separado, no solo una.
Sigue con la serie: este tema conecta directamente con Grant-SmbShareAccess, donde se explica cómo gestionar la capa de permisos de compartición desde PowerShell, y con compartir carpetas con PowerShell y SMB, el punto de partida de toda esta serie.