簡(jiǎn)介面向企業(yè)IT運(yùn)維人員與網(wǎng)絡(luò)管理員這是一份基于Windows Server 2016的域文件服務(wù)器共享盤(pán)配置指南。文檔從Active Directory基礎(chǔ)結(jié)構(gòu)入手詳細(xì)說(shuō)明創(chuàng)建組織單元OU、域用戶賬戶與用戶組的流程隨后介紹文件服務(wù)器加入域、創(chuàng)建共享文件夾并設(shè)置NTFS權(quán)限建議按組分配的具體方法。針對(duì)登錄自動(dòng)映射文檔給出了批處理文件bat中net use命令的寫(xiě)法并說(shuō)明如何在AD中新建共享文件夾對(duì)象、創(chuàng)建并鏈接組策略對(duì)象GPO在GPO里配置驅(qū)動(dòng)器映射和登錄腳本。整個(gè)過(guò)程配有清晰的步驟截圖重點(diǎn)解釋了集中存儲(chǔ)、權(quán)限控制和數(shù)據(jù)安全之間的關(guān)聯(lián)能幫助讀者理解域環(huán)境運(yùn)維的常見(jiàn)套路。壓縮包內(nèi)為1個(gè)doc格式操作文檔大小468KB內(nèi)容結(jié)構(gòu)緊湊已有374人學(xué)習(xí)瀏覽適合需要快速搭建或維護(hù)域共享盤(pán)環(huán)境的IT人員參考也可作為相關(guān)課程或企業(yè)內(nèi)訓(xùn)的輔助材料。1. 域文件服務(wù)器設(shè)置-共享盤(pán)為什么域用戶總是找不到自己的共享盤(pán)域文件服務(wù)器設(shè)置-共享盤(pán)這件事表面上是右鍵“共享”點(diǎn)幾下實(shí)際上坑全埋在看不到的地方。我見(jiàn)過(guò)太多這樣的場(chǎng)景域控搭好了文件服務(wù)器也加域了共享目錄建了結(jié)果用戶登錄后要么看不到盤(pán)符要么雙擊提示沒(méi)有權(quán)限要么干脆報(bào)“此工作站和主域間的信任關(guān)系失敗”。問(wèn)題幾乎都不在“共享”這個(gè)動(dòng)作本身而在域環(huán)境的前置條件、權(quán)限的疊加邏輯、以及客戶端的認(rèn)證路徑上。這篇文章就按我實(shí)際搭建的順序來(lái)寫(xiě)先把域環(huán)境門(mén)檻跨過(guò)去再落共享盤(pán)最后講清楚踩過(guò)的坑和驗(yàn)證方法。適合剛接手域環(huán)境、需要給部門(mén)開(kāi)共享盤(pán)的人照著做。2. 先把域環(huán)境門(mén)檻跨過(guò)去加域、DNS 與統(tǒng)一賬號(hào)的三個(gè)前置檢查2.1 為什么要先確認(rèn) DNS 指向域控找不到后面全白搭域環(huán)境里最容易被忽略、卻最先導(dǎo)致翻車的就是 DNS。AD 域控在注冊(cè) SRV 記錄時(shí)依賴 DNS客戶端加域、登錄、找域控、走 Kerberos 認(rèn)證全部要通過(guò) DNS 查詢_ldap._tcp.domian.local這類 SRV 記錄。文件服務(wù)器加域后要獲取域用戶和組的信息本質(zhì)上是把自己變成域內(nèi)的一臺(tái)成員機(jī)然后通過(guò) LDAP 查詢域控。這一整條鏈路里只要 DNS 指向不對(duì)后面全是黑匣子。我一般會(huì)先做三個(gè)檢查第一文件服務(wù)器的首選 DNS 必須指向域控的 IP而不是路由器或公共 DNS第二確認(rèn)域控上 DNS 服務(wù)正常SRV 記錄已經(jīng)注冊(cè)第三檢查服務(wù)器和域控之間網(wǎng)絡(luò)連通。這里特別提醒一點(diǎn)如果網(wǎng)絡(luò)里做了 VLAN 劃分與 ACL 配置域控和文件服務(wù)器不在同一個(gè)二層廣播域里一定要把兩個(gè)網(wǎng)段之間的 53、88、389、445 端口放通否則加域時(shí)能 ping 通但 SID 拿不到報(bào)錯(cuò)毫無(wú)頭緒。2.2 用命令行完成加域與驗(yàn)證圖形界面加域大家都會(huì)但命令行方式更適合批量操作和后續(xù)排查。以 Windows Server 2019/2022 為例用管理員權(quán)限打開(kāi) PowerShell執(zhí)行下面的命令# 把當(dāng)前服務(wù)器加入 contoso.local 域域管理員賬號(hào)會(huì)彈出認(rèn)證框 Add-Computer -DomainName contoso.local -Credential (Get-Credential CONTOSO\admin) -Restart-DomainName參數(shù)一定填 DNS 域名而不是 NetBIOS 名填contoso雖然能加域成功但后續(xù)某些依賴 DNS 域名的服務(wù)會(huì)出怪問(wèn)題-Credential用域管理員賬號(hào)不要用本地管理員因?yàn)閯?chuàng)建計(jì)算機(jī)賬戶需要域內(nèi)的寫(xiě)權(quán)限-Restart表示加域成功后自動(dòng)重啟如果不加這個(gè)參數(shù)加域后不重啟也能用但 Kerberos 票據(jù)緩存可能不完整建議還是重啟。重啟后驗(yàn)證加域是否真正生效有兩件事必須做# 查看當(dāng)前計(jì)算機(jī)所屬域和是否在域中 Get-ComputerInfo | Select-Object CsDomain, CsPartOfDomain # 查找可用的域控驗(yàn)證 DNS SRV 記錄是否可用 nltest /dsgetdc:contoso.localnltest /dsgetdc輸出會(huì)列出一臺(tái)域控的名字和 IP這一步是測(cè)試 DNS 到域控的完整鏈路如果這里報(bào)錯(cuò)說(shuō)明 DNS 配置或 SRV 記錄有問(wèn)題加域只是表象成功。另外Get-ComputerInfo輸出的CsPartOfDomain必須是TrueCsDomain應(yīng)該是contoso.local這兩個(gè)值對(duì)不上就說(shuō)明計(jì)算機(jī)賬戶沒(méi)建好。2.3 統(tǒng)一賬號(hào)與密碼策略域用戶怎么批量重置密碼文件服務(wù)器做共享盤(pán)最終訪問(wèn)者是域用戶和域用戶組。域環(huán)境的價(jià)值在于賬號(hào)統(tǒng)一所以共享權(quán)限要基于域用戶組來(lái)設(shè)而不是基于本地用戶。很多剛接觸 AD 域控的人習(xí)慣在文件服務(wù)器本地建用戶那樣做共享盤(pán)就失去了域的意義。如果接手時(shí)域內(nèi)賬號(hào)體系比較亂比如大量用戶密碼過(guò)期、或需要臨時(shí)統(tǒng)一重置密碼常見(jiàn)做法是用 CSV 批量導(dǎo)入。以下命令從user_pwd.csv讀取用戶名和新密碼批量重置并強(qiáng)制用戶下次登錄時(shí)改密碼# CSV 格式SamAccountName,NewPassword Import-Csv C:\temp\user_pwd.csv | ForEach-Object { Set-ADAccountPassword -Identity $_.SamAccountName -NewPassword (ConvertTo-SecureString $_.NewPassword -AsPlainText -Force) -Reset Set-ADUser -Identity $_.SamAccountName -ChangePasswordAtLogon $true }這里-Reset表示強(qiáng)制重置不管舊密碼是什么-ChangePasswordAtLogon $true強(qiáng)制首次登錄改密避免管理員知道每個(gè)人的臨時(shí)密碼。要注意的是批量重置密碼屬于敏感操作建議只在初始部署或找回密碼時(shí)用日常應(yīng)依賴域策略里的密碼過(guò)期機(jī)制。3. 共享盤(pán)落到文件服務(wù)器上角色安裝、共享創(chuàng)建與權(quán)限落位3.1 文件服務(wù)器角色安裝與磁盤(pán)規(guī)劃域用戶通過(guò)\\fs01\finance訪問(wèn)共享盤(pán)背后是文件服務(wù)器上的“文件和存儲(chǔ)服務(wù)”角色在提供 SMB 服務(wù)。在 Windows Server 上安裝這個(gè)角色很簡(jiǎn)單Server Manager 里勾選“文件和存儲(chǔ)服務(wù)”或用 PowerShell 一條命令完成# 安裝文件和存儲(chǔ)服務(wù)角色包含 SMB 共享管理工具 Install-WindowsFeature -Name FS-FileServer -IncludeManagementTools磁盤(pán)規(guī)劃方面我一般建議把系統(tǒng)盤(pán)和數(shù)據(jù)盤(pán)分開(kāi)。共享數(shù)據(jù)放獨(dú)立數(shù)據(jù)盤(pán)不要在 C 盤(pán)上建共享因?yàn)橄到y(tǒng)盤(pán)寫(xiě)滿會(huì)導(dǎo)致整個(gè)服務(wù)器不穩(wěn)定。數(shù)據(jù)盤(pán)格式化為 NTFS分配盤(pán)符比如 D 盤(pán)。然后在這塊盤(pán)上按部門(mén)或用途建目錄例如D:\Shares\finance、D:\Shares\hr。目錄命名要盡量避免帶空格和特殊字符。共享名和本地路徑名保持一致這樣排錯(cuò)時(shí)不用來(lái)回對(duì)應(yīng)。另外磁盤(pán)配額和卷影副本建議在共享建好后就順手開(kāi)啟否則運(yùn)行幾個(gè)月后再想開(kāi)磁盤(pán)空間可能已經(jīng)不夠了。3.2 用 New-SmbShare 創(chuàng)建共享參數(shù)說(shuō)明與最小命令目錄建好后創(chuàng)建共享。圖形界面右鍵屬性操作是最常見(jiàn)的做法但從可復(fù)現(xiàn)和排錯(cuò)角度看New-SmbShare 命令更可控。這里以創(chuàng)建財(cái)務(wù)共享盤(pán)為例# 創(chuàng)建共享共享名 finance本地路徑 D:\Shares\finance # 完全控制交給域管理員編輯交給 finance_editor 組讀取交給 finance_reader 組 New-SmbShare -Name finance -Path D:\Shares\finance -FullAccess CONTOSO\Domain Admins -ChangeAccess CONTOSO\finance_editor -ReadAccess CONTOSO\finance_reader創(chuàng)建共享后客戶端訪問(wèn)地址就是\\fs01\finance。參數(shù)里的-FullAccess對(duì)應(yīng)共享權(quán)限的“完全控制”-ChangeAccess對(duì)應(yīng)“更改”-ReadAccess對(duì)應(yīng)“讀取”這三個(gè)參數(shù)傳的一定是域用戶組而不是本地用戶。-Name是客戶端看到的共享名-Path是服務(wù)器本地的物理路徑這兩個(gè)對(duì)應(yīng)關(guān)系要清楚。注意共享權(quán)限只是第一道門(mén)檻。用戶最終能不能讀、能不能寫(xiě)取決于共享權(quán)限與 NTFS 權(quán)限的交集。這一步創(chuàng)建時(shí)只設(shè)共享權(quán)限NTFS 權(quán)限還要單獨(dú)處理。3.3 共享權(quán)限與 NTFS 權(quán)限的疊加邏輯很多人在共享權(quán)限上放得很寬以為 NTFS 權(quán)限能兜底結(jié)果權(quán)限全亂。這里必須說(shuō)清楚共享權(quán)限和 NTFS 權(quán)限是兩層最終權(quán)限是兩者取交集。比如共享權(quán)限給了 finance_reader 讀取NTFS 權(quán)限給了 finance_editor 完全控制最終用戶只有讀取權(quán)限反過(guò)來(lái)也一樣。正確的做法是共享權(quán)限只控制網(wǎng)絡(luò)訪問(wèn)層面通常給一個(gè)較大的范圍NTFS 權(quán)限負(fù)責(zé)細(xì)粒度控制。常見(jiàn)做法是用 icacls 把 NTFS 權(quán)限清掉繼承再按組精細(xì)化授權(quán)# 1. 清除繼承的權(quán)限避免父目錄的 Everyone 權(quán)限帶進(jìn)來(lái) icacls D:\Shares\finance /inheritance:r # 2. 給讀取組只讀權(quán)限OI 表示目錄下的文件繼承CI 表示子目錄繼承 icacls D:\Shares\finance /grant:r CONTOSO\finance_reader:(OI)(CI)(RX) # 3. 給編輯組修改權(quán)限M 表示修改含讀、寫(xiě)、刪除、改屬性 icacls D:\Shares\finance /grant:r CONTOSO\finance_editor:(OI)(CI)(M) # 4. 域管理員完全控制 icacls D:\Shares\finance /grant:r CONTOSO\Domain Admins:(OI)(CI)(F)/inheritance:r的作用是去掉從父目錄繼承過(guò)來(lái)的所有權(quán)限這一步很關(guān)鍵。默認(rèn)情況下一塊新格式化 NTFS 盤(pán)會(huì)有Authenticated Users之類的繼承權(quán)限如果不清掉可能出現(xiàn)共享權(quán)限限定了只讀、但 NTFS 層 Everyone 有修改權(quán)限的尷尬。(OI)(CI)是繼承標(biāo)記OI表示該權(quán)限會(huì)應(yīng)用到目錄內(nèi)的文件CI表示應(yīng)用到子目錄不加這兩個(gè)標(biāo)記的話只有目錄本身生效新建的文件不會(huì)有權(quán)限。3.4 客戶端映射盤(pán)符與登錄腳本服務(wù)端的共享建好后客戶端還需要把\\fs01\finance映射成一個(gè)盤(pán)符。普通的做法是在資源管理器里右鍵映射網(wǎng)絡(luò)驅(qū)動(dòng)器。但域環(huán)境里更規(guī)范的做法是放在登錄腳本里讓每個(gè)域用戶登錄時(shí)自動(dòng)掛載。用戶不需要知道服務(wù)器名和共享名只需要看到一個(gè)盤(pán)符。在域控上配置組策略或者用簡(jiǎn)單的批處理放在用戶腳本里# 掛載財(cái)務(wù)共享盤(pán)為 P 盤(pán)不持久化每次登錄都重新映射 net use P: \\fs01\finance /persistent:no/persistent:no表示斷開(kāi)后不保留映射避免下次登錄時(shí)因憑據(jù)過(guò)期產(chǎn)生奇怪報(bào)錯(cuò)。如果要按組來(lái)映射不同盤(pán)符就在組策略里按用戶組應(yīng)用不同腳本或者用 PowerShell 腳本判斷用戶所屬組后動(dòng)態(tài)掛載。這里的重點(diǎn)是盤(pán)符只是入口真正決定能不能訪問(wèn)的是前兩節(jié)的兩層權(quán)限。4. 域共享盤(pán)避坑信任關(guān)系失敗、看不到共享、權(quán)限越界的排查記錄4.1 “此工作站和主域間的信任關(guān)系失敗”現(xiàn)象、原因、解決這個(gè)報(bào)錯(cuò)在熱詞里頻繁出現(xiàn)也是共享盤(pán)訪問(wèn)失敗里最經(jīng)典的坑?，F(xiàn)象是域用戶登錄文件服務(wù)器或客戶端時(shí)系統(tǒng)提示“此工作站和主域間的信任關(guān)系失敗”有時(shí)加域的機(jī)器重啟后突然變回未知狀態(tài)。原因是計(jì)算機(jī)賬戶在域內(nèi)有一個(gè)機(jī)器密碼每 30 天自動(dòng)更新當(dāng)系統(tǒng)備份還原、或機(jī)器長(zhǎng)期未開(kāi)機(jī)、或域控上計(jì)算機(jī)賬戶被重置后本地存儲(chǔ)的機(jī)器密碼和域控上的不一致信任關(guān)系就斷了。解決分兩步先在原服務(wù)器上嘗試重置機(jī)器密碼# 用域管理員憑據(jù)在服務(wù)器上重置機(jī)器賬戶密碼 Reset-ComputerMachinePassword -Credential (Get-Credential CONTOSO\admin) -Server dc01.contoso.local-Server參數(shù)指定任意一臺(tái)可用的域控。重置成功后重啟再驗(yàn)證。如果重置命令報(bào)錯(cuò)或無(wú)效那就退出域再重新加入# 退出域 Remove-Computer -Credential (Get-Credential CONTOSO\admin) -Force # 重新加入域 Add-Computer -DomainName contoso.local -Credential (Get-Credential CONTOSO\admin) -Restart需要提醒的是退出域后原來(lái)域用戶在本機(jī)創(chuàng)建的配置文件和域授權(quán)數(shù)據(jù)會(huì)丟失重新加域后必須重新授權(quán)涉及機(jī)器上本地管理員組成員會(huì)變成未知 SID。所以能重置就不要重加。4.2 能訪問(wèn)服務(wù)器卻看不到共享盤(pán)另一個(gè)高頻現(xiàn)象是把\\fs01放到資源管理器地址欄能列出服務(wù)器但看不到finance這個(gè)共享。原因通常不是共享沒(méi)建立而是共享權(quán)限里沒(méi)給這個(gè)用戶任何權(quán)限。SMB 協(xié)議在瀏覽共享列表時(shí)如果用戶對(duì)當(dāng)前所有共享都沒(méi)有訪問(wèn)權(quán)服務(wù)器不會(huì)把共享名列出來(lái)。解決方式要看兩個(gè)地方。第一確認(rèn)這個(gè)用戶屬于哪個(gè)域組組是否出現(xiàn)在共享權(quán)限里第二看是否啟用了“基于訪問(wèn)的枚舉”Access-Based EnumerationABE。ABE 開(kāi)啟后用戶只能看到自己有權(quán)限的共享。如果財(cái)務(wù)共享盤(pán)只給了 finance_reader 讀取普通員工登錄自然看不到。查看和開(kāi)啟 ABE 的命令# 查看共享設(shè)置 Get-SmbShare -Name finance # 開(kāi)啟基于訪問(wèn)的枚舉 Set-SmbShare -Name finance -FolderEnumerationMode AccessBasedABE 是好東西但排錯(cuò)時(shí)要先想到它否則會(huì)在服務(wù)器上反復(fù)確認(rèn)共享存在卻不知道用戶在客戶端為什么看不到。4.3 權(quán)限越界與誤刪共享權(quán)限和 NTFS 權(quán)限不一致的隱性風(fēng)險(xiǎn)還有一種常見(jiàn)坑某個(gè)目錄里用戶能打開(kāi)文件但保存時(shí)提示“沒(méi)有權(quán)限”或者反過(guò)來(lái)某個(gè)普通員工能刪掉別人的文件。這兩種現(xiàn)象本質(zhì)都是兩層權(quán)限沒(méi)對(duì)齊。我能保存但文件夾下某些子目錄不能創(chuàng)建文件通常是 NTFS 權(quán)限里對(duì)該子目錄沒(méi)有寫(xiě)權(quán)限而共享層是放開(kāi)的。能刪別人文件通常是因?yàn)?NTFS 層給了Modify權(quán)限而Modify包含刪除子目錄和文件。很多人的習(xí)慣是給“編輯”組直接賦M但M其實(shí)包含了刪除權(quán)限這不是文檔編輯所說(shuō)的“編輯”。如果只希望用戶可以編輯文件但不能刪除文件權(quán)限配置要更苛刻# 允許創(chuàng)建文件、寫(xiě)入數(shù)據(jù)、讀取但禁止刪除 icacls D:\Shares\finance /grant:r CONTOSO\finance_editor:(OI)(CI)(WD,AD,RD,RA)這個(gè)做法在真實(shí)業(yè)務(wù)里很少用因?yàn)榇蠖鄶?shù)業(yè)務(wù)不接受“不能刪”這種別扭邏輯。但它說(shuō)明一個(gè)原則NTFS 權(quán)限要用最小化原則來(lái)配不要圖方便直接給完全控制。我自己的經(jīng)驗(yàn)是建共享時(shí)先按“讀者/編輯者/管理者”三檔來(lái)建域組后面加人只改組成員不碰 ACL權(quán)限結(jié)構(gòu)會(huì)清晰很多。4.4 DNS 指向與網(wǎng)絡(luò)域隔離導(dǎo)致的“連不上”假象最后一個(gè)坑在客戶端側(cè)?？蛻舳嗽L問(wèn)\\fs01\finance時(shí)解析fs01也是靠 DNS。如果客戶端 DNS 指向的不是域控而是路由器或公共 DNS它會(huì)得到錯(cuò)誤結(jié)果或解析不到。有些環(huán)境里同一個(gè)fs01名字在內(nèi)外網(wǎng)各有一臺(tái)機(jī)器訪問(wèn)到的根本就是錯(cuò)的目標(biāo)。怎么看在客戶端執(zhí)行nslookup fs01看返回的 IP 是不是文件服務(wù)器真實(shí) IP。同時(shí)看文件服務(wù)器防火墻是否放通了 TCP 445。如果網(wǎng)絡(luò)里做了 VLAN 劃分客戶端和文件服務(wù)器跨網(wǎng)段還要確認(rèn)三層交換機(jī)或防火墻是否放行 445以及必要的 Kerberos 端口 88。這類問(wèn)題的現(xiàn)象千奇百怪有時(shí)提示“找不到網(wǎng)絡(luò)路徑”有時(shí)提示“登錄失敗未授予用戶在此計(jì)算機(jī)上的請(qǐng)求登錄類型”但根源都是網(wǎng)絡(luò)訪問(wèn)路徑?jīng)]有打通。5. 進(jìn)階驗(yàn)證一條命令批量審計(jì)共享權(quán)限與磁盤(pán)配額共享盤(pán)交付后運(yùn)維的核心訴求從“能用”變成“可控”。我最常做的驗(yàn)證是用一條循環(huán)命令把服務(wù)器上所有 SMB 共享的權(quán)限打平鋪出來(lái)定期檢查有沒(méi)有該清理的組或異常授權(quán)# 列出所有共享并逐個(gè)輸出其共享級(jí)權(quán)限 Get-SmbShare | ForEach-Object { Write-Host $($_.Name) ($($_.Path)) Get-SmbShareAccess -Name $_.Name }Get-SmbShare輸出所有共享名和本地路徑Get-SmbShareAccess查的是共享權(quán)限層。要查 NTFS 層就用icacls批量導(dǎo)出目錄的 ACL# 批量導(dǎo)出 D:\Shares 下所有共享目錄的 NTFS 權(quán)限 icacls D:\Shares /T /C /Q C:\temp\acl_audit.txt/T遞歸所有子目錄/C遇到錯(cuò)誤繼續(xù)執(zhí)行/Q精簡(jiǎn)輸出。這個(gè)文件可以拿來(lái)做權(quán)限對(duì)比比如半年后重新導(dǎo)一次用 git diff 或文件對(duì)比工具看多了哪些授權(quán)。我自己在這上面吃過(guò)虧有一臺(tái)文件服務(wù)器上線時(shí)沒(méi)有做權(quán)限審計(jì)一年后偶然導(dǎo)出才發(fā)現(xiàn)Everyone組居然有M權(quán)限不知道是哪個(gè)管理員在某個(gè)時(shí)刻改過(guò)。后來(lái)我就養(yǎng)成兩個(gè)習(xí)慣第一所有共享目錄禁止單獨(dú)疊加用戶授權(quán)只認(rèn)域組第二每個(gè)季度跑一次上面的審計(jì)命令發(fā)現(xiàn)非預(yù)期授權(quán)當(dāng)場(chǎng)清掉。這個(gè)方案投入很低但能避免絕大多數(shù)權(quán)限安全事故。希望幫到你。本文還有配套的精品資源點(diǎn)擊獲取