Gebruikersbeheer in Windows 10
Je deelt je pc met andere gebruikers of je geeft hen via het netwerk toegang tot bepaalde data. Mooi, maar dat doe je dan natuurlijk het liefst op zo’n manier dat ze je Windows-configuratie niet kunnen ontregelen en ze evenmin gegevens kunnen benaderen die je privé wilt houden. Om dat te bereiken, moet je een doordacht gebruikersbeleid voeren, met de juiste instellingen en machtigingen.
De meeste besturingssystemen voor desktopgebruik houden er rekening mee dat er meerdere gebruikers kunnen zijn en dat elke gebruiker zelf moet kunnen beslissen welke bronnen, zoals gegevens en apparaten, hij al dan niet met medegebruikers wil delen. Ook in Windows kun je verschillende gebruikersaccounts aanmaken. De data in de profielmappen zijn niet zomaar bereikbaar voor medegebruikers en via een uitgekiend machtigingenbeleid kun je ook voor andere mappen aangeven wie wat met welke data mag doen. Aangezien de meeste pc’s aan een (thuis)netwerk zijn gekoppeld, moet je niet alleen rekening houden met lokaal aangemelde gebruikers, maar ook met gezinsleden, collega’s of bezoekers die je pc via het netwerk benaderen. Dat is allemaal prima te regelen in Windows, maar je moet nog wel het een en ander finetunen.
01 Gebruikersaccounts
Het is jouw pc en jij bent de baas. Dat begint bij het aanmaken van de gebruikersaccounts. Zorg ervoor dat jij de enige bent met een administrator-account en voorzie dat van een stevig wachtwoord dat alleen jij kent. Voor alle andere gebruikers volstaat een standaardaccount, zodat ze niet zomaar aan je Windows-configuratie kunnen sleutelen. Ook voor jezelf is het om veiligheidsredenen trouwens niet zo’n goed idee je dagelijks met je administrator-account aan te melden, dat geeft malware of een hacker immers meer armslag als die erin slaagt je systeem binnen te dringen.
Het accounttype van een gebruiker laat zich als volgt wijzigen: ga naar Windows Instellingen en selecteer Accounts / Gezin en andere gebruikers. Klik het beoogde account aan, kies Accounttype wijzigen en volg de verdere instructies.
©PXimport
02 Quick User Manager
Vanuit Windows Instellingen krijg je slechts zeer beperkte mogelijkheden op het gebied van gebruikersbeheer. Meer opties krijg je via Configuratiescherm / Gebruikersaccounts / Gebruikersaccounts / Een andere account beheren, maar ook hier kun je niet alle mogelijkheden toepassen. Windows Pro heeft daarvoor de module Lokale gebruikers en groepen (zie kader ‘Windows Pro’), maar in dit artikel gaan we er vanuit dat je over Windows Home beschikt.
De gratis portable tool Quick User Manager biedt meer opties dan de Windows Home-versie. Je kunt hiermee onder meer accounts in- en uitschakelen, zorgen dat een accountnaam niet langer te zien is in het welkomstvenster, wachtwoorden wijzigen, accountafbeeldingen wijzigen en zorgen dat een gebruiker zijn wachtwoord niet kan veranderen – handig wanneer je bijvoorbeeld als ouder wilt vermijden dat je ter controle zelf niet meer met het account van je kind kunt aanmelden.
©PXimport
03 Beheer via commando’s
Quick User Manager biedt dus meer opties, maar voor nóg geavanceerder gebruikersbeheer moet je in Windows Home de Opdrachtprompt (ook wel de command line interface genoemd). Druk op de Windows-toets, tik opdracht in, klik met rechts op Opdrachtprompt en kies Als administrator uitvoeren.
Je zorgt bijvoorbeeld dat een gebruiker zijn wachtwoord niet meer kan wijzigen met het commando:
net user <gebruikersnaam> /passwordchg:no
Wil je dat een gebruiker zich alleen op bepaalde tijdstippen bij Windows kan aanmelden, dan regel je dat bijvoorbeeld met:
net user <gebruikersnaam> /times:ma-vr,5pm-7pm;za-zo,11am-7pm
Om opnieuw alle tijdstippen open te stellen, gebruik je simpelweg de parameter /times:all.
Je kunt ook eigen gebruikersgroepen creëren (bijvoorbeeld ouders of kinderen) en vervolgens bestaande gebruikersaccounts aan zo’n groep toevoegen. Dat doe je met deze twee commando’s:
net localgroup <groepsnaam> /add
net localgroup <groepsnaam> <gebruikersnaam> /add
In paragraaf 4 lees je hoe je aan zo’n groep dan in één keer bepaalde toegangsmachtigingen kunt toekennen.
Het resultaat van je commando’s kun je controleren met:
net user <gebruikersnaam> en
net localgroup <groepsnaam>
De opdrachten net user /help en net localgroup /help geven je uitgebreide informatie over de beschikbare opties.
Belangrijk is wel dat je waar van toepassing de slash (/) niet vergeet in je commando’s. Immers, zonder die slash beschouwt Windows de ingetikte parameter als een nieuw wachtwoord voor die bezoeker en dat is niet de bedoeling.
©PXimport
Windows Pro
Windows Pro en hoger bevat de module Lokale gebruikers en groepen, van waaruit je bepaalde aspecten van de gebruikersaccounts kunt regelen. Druk op Windows-toets+R, tik lusrmgr.msc in en druk op Enter. Dit opent de local user manager. Wanneer je hier de groep Gebruikers opent en dubbelklikt op een accountnaam, kun je er bijvoorbeeld voor zorgen dat die persoon zijn wachtwoord niet meer kan wijzigen. Op het tabblad Lid kun je het account via de knop Toevoegen in een bepaalde gebruikersgroep onderbrengen. Eigen groepen creëren kan ook: klik in het linkervenster met rechts op Groepen en kies Nieuwe groep.
©PXimport
04 Lokale machtigingen
Wanneer je al je gegevens in je eigen profielmap bewaart, dan zijn die in principe mooi afgeschermd van je medegebruikers. Je vindt die profielmap door in Windows Verkenner naar Deze pc te gaan en te achtereenvolgend dubbelklikken op de C:-schijf / Gebruikers / <accountnaam>. Of tik het pad C:\Users\<accountnaam> in de adresbalk in.
Dit systeem is niet helemaal waterdicht, want een administrator – jij dus – kan alsnog een toegang forceren. Ook als iemand de pc opstart met een live Linux-bootmedium, zijn de gegevens in elke profielmap zonder meer te benaderen (we gaan in dit artikel overigens niet dieper een dergelijk scenario in).
Stel, je wilt een willekeurige map alleen voor specifieke gebruikers toegankelijk maken, bijvoorbeeld een map op de root van je C:-schijf of op een aangekoppelde externe ntfs-schijf. Dan kun je als volgt te werk gaan. Je probeert dit het best eerst op een lege map uit. Klik met rechts op een map in Windows Verkenner, kies Eigenschappen en open het tabblad Beveiliging. Druk op de knop Bewerken en vervolgens op Toevoegen. Vul bij Geef de objectnamen op de gewenste gebruikers- of groepsnaam in en check die met de knop Namen controleren. Bevestig met OK en Toepassen. Selecteer de toegevoegde naam in de lijst; in de kolom Toestaan lees je de toegekende machtigingen af. De standaardmachtigingen volstaan normaal gesproken om data in die map te lezen en te schrijven, maar in de kolom Toestaan kun je door het plaatsen van een vinkje eventueel ook Volledig beheer toekennen.
©PXimport
05 Meer machtigingen
Je zult merken dat ook andere gebruikers nog (schrijf)toegang hebben tot deze map. Wil je uitsluitend je eigen account en de toegevoegde gebruiker of gebruikersgroep toegang tot deze map geven, dan moet je de standaardgroepen Gebruikers en Geverifieerde gebruikers verwijderen. Selecteer die groepen achtereenvolgens en druk telkens op Bewerken / Verwijderen. Lukt dat niet meteen en duikt een foutmelding op, open dan het tabblad Beveiliging en klik op Geavanceerd / Overname uitschakelen. Selecteer de optie Converteer […] en bevestig met OK. Nu kun je beide groepen alsnog weghalen. De items SYSTEM en Administrators laat je wel ongemoeid!
©PXimport
06 Netwerktoegang
Tot nog toe hebben we ons gefocust op gebruikers die zich op de pc zelf aanmelden. Maar misschien wil je ook data op je pc via het (thuis)netwerk beschikbaar maken. Tot Windows 10 versie 1803 kon je daarvoor handig gebruikmaken van het concept Thuisgroepen, maar in recentere Windows-versies moet je een ander pad bewandelen.
Voor je daadwerkelijk mappen gaat delen, controleer je het best een paar zaken. Druk op de Windows-toets, tik geavanceerd delen in en selecteer Instellingen voor geavanceerd delen. Open de rubriek Particulier netwerk en selecteer hier zowel de optie Netwerkdetectie inschakelen als de optie Bestands- en printerdeling inschakelen. Overigens doe je er goed aan deze beide opties in de rubriek Gast of Openbaar juist uit te schakelen. Bevestig je keuzes met Wijzigingen opslaan.
Controleer tevens de naam van je computer: ga naar Instellingen, kies Systeem / Info en klik op Naam van pc wijzigen als je een meer geschikte naam wilt opgeven, onder deze naam verschijnt je pc in de netwerkomgeving van andere computers.
©PXimport
07 Mappen delen
Als je bent aangemeld als administrator, kun je nu specifieke mappen op je pc met anderen delen. Navigeer met Verkenner naar de gewenste map, klik erop met de rechtermuisknop en kies Toegang verlenen tot. Mocht in dit menu alleen maar Geavanceerd delen opduiken, open dan in het Lint van Verkenner het tabblad Beeld, klik op het pictogram Opties en open het tabblad Weergave. Scrol naar onderen en plaats een vinkje bij Wizard Delen gebruiken (aanbevolen). In het menu komen nu diverse opties beschikbaar, waaronder een tweetal met Thuisgroep […], maar sinds Windows 10 1803 kun je die opties dus niet meer gebruiken. In plaats daarvan kies je hier Specifieke personen.
Er verschijnt een dialoogvenster, waar je in het uitklapmenu de gebruiker(s) selecteert die je netwerktoegang wilt verlenen. Zelfgemaakte gebruikersgroepen (zoals ouders, kinderen enzovoort) duiken hier weliswaar niet op, maar je kunt die groepsnamen wel zelf intikken, zodat die na een druk op de knop Toevoegen worden opgenomen in de lijst. Wil je iedere gebruiker (met een account) toegang verlenen, dan kies je Iedereen in het uitklapmenu.
Via het pijltje bij Machtigingsniveau geef je aan of je die gebruiker alleen wilt laten Lezen, dan wel wilt laten Lezen/schrijven. In dit laatste geval kan een gebruiker bestanden openen, creëren, wijzigen en verwijderen. Een gebruiker(sgroep) weer weghalen doe je met Verwijderen. Ben je hier klaar, druk dan op Delen.
©PXimport
08 Ntfs versus share
We vertellen je in paragraaf 9 hoe een gebruiker een gedeelde map via het netwerk bereikt, maar let eerst op de volgende aandachtspunten. Om te beginnen dient die gebruiker zich op een andere netwerk-pc met precies hetzelfde accountnaam aan te melden en bij voorkeur ook met hetzelfde wachtwoord – dat account moet dus ook op die pc beschikbaar zijn.
Verder is het zo dat Windows bij een toegangspoging via het netwerk niet alleen naar de toegekende share-machtigingen voor dat account kijkt (zoals beschreven in paragraaf 7) maar tevens de lokale ntfs-machtigingen controleert (zoals beschreven in paragraaf 4). Windows past daarbij automatisch de meest beperkende combinatie toe. Is de gedeelde map bijvoorbeeld ingesteld op alleen lezen/schrijven en via de lokale machtigingen zijn er alleen leesrechten toegekend, dan zal de gebruiker via het netwerk toch alleen maar leestoegang krijgen. In principe zal Windows normaliter de ntfs- en de share-machtigingen automatisch op elkaar afstemmen: wijzig je de gedeelde map bijvoorbeeld in Lezen/Schrijven, dan worden de ntfs-machtigingen vanzelf op Volledig beheer ingesteld – en omgekeerd. Maar mochten er onverwachts toch autorisatieproblemen opduiken, dan doe je er in elk geval goed aan zowel de share- als de ntfs-machtigingen te controleren.
©PXimport
09 Gedeelde map benaderen
Hoe bereik je nou een gedeelde map via een andere pc in het netwerk? Dat hoort erg eenvoudig te gaan. Ga wel eerst na of ook op deze pc netwerkdetectie en het delen van bestanden is ingeschakeld (zie paragraaf 6): is dat niet het geval, dan kunnen netwerkcomputers (met gedeelde mappen) niet worden gedetecteerd.
Heb je dat voor elkaar, open dan Windows Verkenner en klik in het navigatievenster op Netwerk. Als het goed is, duikt hier de naam van de computer met de gedeelde mappen op, waarop je kunt dubbelklikken en verder kunt navigeren naar de gedeelde map – vooropgesteld dat je hiervoor over de juiste machtigingen beschikt.
Het kan weleens gebeuren dat de netwerk-pc toch niet in dit overzicht verschijnt. In dat geval kun je die alsnog bereiken door het zogenoemde unc-pad in de adresbalk van de Verkenner in te vullen: \\<naam_netwerkpc>\<naam-gedeeldemap>, bijvoorbeeld \\desktoppc-tvd\datamap. Deze methode is trouwens de aangewezen weg wanneer een gedeelde map onzichtbaar is gemaakt omdat de deler die map bijvoorbeeld liever niet in Verkenner ziet opduiken (zie kader ‘Geavanceerd delen’).
©PXimport
10 Sharebeheer
Heb je een aantal mappen gedeeld, waarbij je wellicht andere machtigingen aan verschillende gebruikers hebt toegekend, dan dreig je al snel het overzicht te verliezen. Gelukkig voorziet Windows in een handige beheermodule. Klik met rechts op het Windows-icoontje van het startmenu en kies Computerbeheer. In het linkervenster ga je naar naar Computerbeheer (lokaal) / Gedeelde mappen / Shares. Een alternatief is dat je Windows-toets+R indrukt en de tekst fsmgmt.msc intikt (folders sharing management).
Je krijgt een overzicht van alle beschikbare shares (gedeelde mappen) te zien, inclusief het lokale pad naar de share evenals het aantal actieve clientverbindingen. Wanneer je met de rechtermuisknop op een van je shares klikt, zie je onder meer de optie Delen beëindigen, klik erop als je die map niet langer wenst te delen. Klik je in het linkervenster op Sessies, dan krijg je te zien vanaf welke computer er een gedeelde map wordt benaderd en hoelang die verbinding al actief is. Bij Geopende bestanden zie je om welke data het gaat.
Overigens kun je ook vanaf de Opdrachtprompt een lijst met al dan niet verborgen shares oproepen: de opdracht net share zorgt daarvoor.
©PXimport
Geavanceerd delen
Windows heeft geavanceerdere manier van delen: klik met rechts op een map in Windows Verkenner, kies Eigenschappen, open het tabblad Delen en klik op Geavanceerd delen. Deze methode is meer geavanceerd om diverse redenen. Er zijn meer functies beschikbaar: je kunt bijvoorbeeld de sharenaam zelf instellen (inclusief een $ op het einde, als je de map onzichtbaar wilt maken voor Verkenner) en je kunt het aantal gelijktijdige gebruikers beperken. Verder is het toekennen van de gewenste rechten via de knop Machtigingen iets complexer, omdat je zelf de gewenste gebruikers moet toevoegen en van de juiste machtigingen moet voorzien. Via deze weg is er overigens geen automatische synchronisatie tussen share- en ntfs-machtigingen (zie paragraaf 8). Met andere woorden: je moet er zélf op letten dat de sharerechten (via de knop Machtigingen) en de lokale ntfs-rechten (via het tabblad Beveiliging) in overeenstemming zijn met elkaar. Het is immers niet logisch dat dezelfde bezoeker verschillende maprechten heeft, afhankelijk van of hij zich lokaal op de pc aanmeldt of hij via het netwerk binnenkomt.
©PXimport
