راه‌اندازی فایل سرور و تنظیم دسترسی Share و NTFS

مبنای راهنما Windows Server 2025 Standard با Desktop Experience و رابط انگلیسی است. FS1 یک سرور عضو دامین ad.example.com با نام کوتاه AD است؛ کنترلر دامین DC1 جداست. یک کلاینت Windows 11 Pro عضو همین دامین، ارتباط سالم DNS و دیسک دادهٔ از قبل آمادهٔ D با فایل‌سیستم NTFS لازم است. این تمرین شامل فرمت‌کردن دیسک یا تغییر مجوز ریشهٔ D نیست.

در آموزش کاربران، گروه و OU، lab.sales عضو گروه امنیتی Global به نام GG-Sales-Users و این گروه عضو گروه امنیتی Domain Local به نام DL-Sales-Modify می‌شود. lab.control کاربر عادی دیگری است که عضو این گروه‌ها نیست. ساخت گروه‌ها را پیش از ادامه انجام دهید؛ دو حساب آزمون نباید عضو گروه‌های مدیریتی باشند. استفاده از دامین انتخاب این سناریو است، نه شرط همهٔ اشتراک‌های SMB.

روی FS1 با حساب دارای اختیار مدیریت فایل‌سرور کار کنید. اگر نقش File Server نصب نیست، از Server Manager → Add Roles and Features، زیر File and Storage Services → File and iSCSI Services آن را اضافه کنید. در محیط واقعی ابتدا نسخهٔ پشتیبان قابل بازیابی و وضعیت مجوزهای فعلی را بررسی کنید. مراحل زیر برای پوشه‌ای تازه و خالی است؛ ACL پوشهٔ کارکنان را با این مثال جایگزین نکنید.

Share در مسیر دسترسی شبکه بررسی می‌شود؛ NTFS روی خود فایل و پوشه اعمال می‌شود و دسترسی محلی را هم پوشش می‌دهد. برای انجام یک کار از شبکه، هر دو لایه باید آن کار را مجاز کنند. جدول زیر فقط حالت سادهٔ یک گروه، بدون Deny و مجوزهای اضافی را نشان می‌دهد:

حقوق Allow از عضویت‌های مختلف می‌توانند جمع شوند و وراثت و Deny نیز در نتیجه نقش دارند؛ فقط یک سطر از فهرست مجوزها را نبینید. برای حذف دسترسی دیگران، Deny را روی Everyone نگذارید؛ کاربران مجاز نیز ممکن است در آن قرار بگیرند. در این تمرین، دسترسی‌های عمومیِ ناخواسته را از پوشهٔ تازه حذف می‌کنیم و Allow را به گروه مشخص می‌دهیم.

Modify شامل حذف است. اگر نیاز کسب‌وکار «ویرایش بدون حذف» است، این تنظیم پاسخ آن نیست؛ ذخیرهٔ بعضی برنامه‌ها با فایل موقت و جایگزینی فایل قبلی انجام می‌شود و باید همان برنامه آزمایش شود. محدودکردن مجوز نیز جای نسخهٔ پشتیبان و آزمون بازیابی را نمی‌گیرد.

روی FS1 پوشهٔ خالی D:\Shares\Sales را بسازید. پیش از تغییر، Properties همان پوشه را باز کنید و مطمئن شوید روی Sales هستید، نه D یا Shares. اگر این پوشه از قبل داده یا کاربردی دارد، برای تمرین پوشه و Share دیگری انتخاب کنید.

• در Properties → Security → Advanced، مجوزهای به‌ارث‌رسیده را ببینید. برای همین پوشهٔ تازه، Disable inheritance و سپس Convert inherited permissions into explicit permissions را انتخاب کنید تا ابتدا ورودی‌ها حفظ شوند.
• مجوز Full control برای SYSTEM و گروه محلی Administrators را حفظ و دامنهٔ آن‌ها را This folder, subfolders and files کنترل کنید. اگر این ورودی‌ها موجود نیستند، پیش از حذف مجوزهای عمومی آن‌ها را با حساب مجاز اضافه کنید.
• با Add → Select a principal گروه AD\DL-Sales-Modify را انتخاب کنید؛ Type برابر Allow، Applies to برابر This folder, subfolders and files و Basic permissions برابر Modify باشد. نام گروه را با Check Names تأیید کنید.
• روی همین پوشهٔ خالی، ورودی‌های عمومی دیگری را که به Users، Authenticated Users یا Everyone دسترسی ناخواسته می‌دهند، پس از شناسایی حذف کنید. مجوزهای مدیریتی و SYSTEM را نگه دارید و تنظیمات را ذخیره کنید. به والد یا پوشه‌های کاری دیگر دست نزنید.

فهرست نهایی را دوباره بخوانید: گروه فروش حق Modify دارد، مدیران و SYSTEM حق مدیریت دارند و کاربر کنترل از مسیر گروه دیگری حق خواندن نگرفته است. گزینهٔ جایگزینی مجوز همهٔ اشیای فرزند را روی یک درخت دادهٔ موجود برای شبیه‌کردن آن به این مثال اجرا نکنید.

در Server Manager → File and Storage Services → Shares بررسی کنید که نام Sales قبلاً برای منبع دیگری استفاده نشده باشد. سپس Windows PowerShell را روی FS1 با Run as administrator باز کنید و فقط برای پوشهٔ آمادهٔ همین تمرین فرمان زیر را اجرا کنید. نام گروه محلی Administrators مطابق رابط انگلیسی مثال است.

New-SmbShare -Name "Sales" -Path "D:\Shares\Sales" -ChangeAccess "AD\DL-Sales-Modify" -FullAccess "BUILTIN\Administrators" -EncryptData $true

این فرمان پوشه یا مجوز NTFS را نمی‌سازد؛ آن مرحله باید قبلاً انجام شده باشد. Change به گروه فروش و Full به مدیران برای خود Share داده می‌شود. رمزگذاری این اشتراک فعال است؛ Windows 11 مثال از SMB جدید پشتیبانی می‌کند. ناسازگاری یک دستگاه قدیمی را با فعال‌کردن SMB1 یا دسترسی مهمان حل نکنید. New-SmbShare از WhatIf به‌صورت قابل اتکا برای اجرای آزمایشی پشتیبانی نمی‌کند؛ فرمان بالا را تغییر واقعی بدانید.

Get-SmbShareAccess -Name "Sales"

در خروجی واقعی، نام گروه، Allow و سطح Change را برای فروش و Full را برای مدیران بررسی کنید. این فرمان فقط ACL اشتراک را نشان می‌دهد؛ موفقیت آن، تأیید NTFS یا ورود کاربر نیست. اکنون مسیر نمونهٔ دسترسی از کلاینت چنین است:

\\FS1.ad.example.com\Sales

پس از تغییر عضویت گروه‌ها، هر حساب آزمون باید کارهای باز را ذخیره کند، Sign out کند و دوباره وارد ویندوز شود. آزمایش را در دو نشست جدا و با حساب‌های عادی انجام دهید؛ اعتبارنامهٔ ذخیره‌شدهٔ مدیر یا اتصال قبلی با حساب دیگر می‌تواند نتیجه را گمراه کند.

روی FS1، در Advanced Security Settings پوشه، تب Effective Access را برای هر کاربر بررسی کنید. نتیجه به فهم مجوز NTFS کمک می‌کند؛ Share را جداگانه بخوانید و هشدارهای ناقص‌بودن اطلاعات را نادیده نگیرید. محاسبهٔ از راه دور، به‌خصوص برای گروه‌های Domain Local، می‌تواند محدودیت داشته باشد؛ نتیجهٔ ابزار جای آزمون واقعی از کلاینت را نمی‌گیرد.

اگر فروش وارد نمی‌شود، ابتدا مسیر، DNS، نشست ورود و زنجیرهٔ عضویت را بررسی کنید. اگر می‌خواند ولی نمی‌نویسد، هر دو ACL و محدودیت فضای دیسک یا سهمیه را ببینید. اگر کاربر کنترل هم وارد می‌شود، سایر گروه‌ها و وراثت را پیدا کنید؛ اضافه‌کردن Deny عمومی بدون شناخت علت، راه‌حل این تمرین نیست. تفکیک خطاهای نام، اعتبارنامه و مجوز در رفع مشکل پوشهٔ اشتراکی آمده است.

نام سرور، مسیر محلی، نام Share، گروه‌های مجاز، حق حذف و نتیجهٔ آزمون هر دو حساب را ثبت کنید. برای نمایش خودکار اشتراک با حرف درایو، راهنمای GPO و Map Drive را ادامه دهید؛ آن سیاست حق دسترسی تازه‌ای به فایل نمی‌دهد.

اگر تمرین را جمع می‌کنید، پس از بسته‌شدن فایل‌های نمونه و اطمینان از استفاده‌نشدن Share، اشتراک تازه را از مدیریت Shares متوقف کنید. توقف Share حذف داده نیست؛ پوشه یا ACL منبع کاری را برای جمع‌کردن آزمایش پاک نکنید. بازگرداندن تغییر روی منبع موجود باید بر مبنای وضعیت ثبت‌شدهٔ همان منبع باشد.

اکنون می‌توانید روی یک زیرپوشهٔ آزمایشی، سهمیه و محدودیت نوع فایل با FSRM را اضافه کنید. اگر هنوز بین فایل‌سرور، NAS و فضای ابری تصمیم نگرفته‌اید، ابتدا مقایسهٔ این گزینه‌ها را ببینید.