วิธีเปิดใช้งานการแจงนับตามการเข้าถึง (ABE) บน Windows Server

การแจงนับตามการเข้าถึง (ABE) อนุญาตให้ซ่อนวัตถุ (ไฟล์และโฟลเดอร์) จากผู้ใช้ที่ไม่มีสิทธิ์ NTFS (อ่านหรือรายการ) ในโฟลเดอร์ที่ใช้ร่วมกันบนเครือข่ายเพื่อเข้าถึง ดังนั้น คุณสามารถเพิ่มการรักษาความลับของข้อมูลที่จัดเก็บไว้ในโฟลเดอร์ที่ใช้ร่วมกัน (เนื่องจากการซ่อนโครงสร้างและชื่อของโฟลเดอร์และไฟล์) ปรับปรุงความสามารถในการใช้งานเนื่องจากผู้ใช้จะไม่เห็นข้อมูลแปลก ๆ (พวกเขาไม่มีสิทธิ์เข้าถึง) และอะไรคือ ที่สำคัญกว่านั้น ช่วยผู้ดูแลระบบจากคำถามคงที่ของผู้ใช้ “ทำไมฉันถึงไม่สามารถเข้าถึงโฟลเดอร์นี้ได้!!!” ลองพิจารณาเทคโนโลยีนี้ ลักษณะเฉพาะของการกำหนดค่า และการใช้ ABE ใน Windows เวอร์ชันต่างๆ โดยละเอียด

การเข้าถึงโฟลเดอร์ที่ใช้ร่วมกันทำงานอย่างไรใน Windows

ข้อเสียอย่างหนึ่งของเทคโนโลยีโฟลเดอร์ที่ใช้ร่วมกันบนเครือข่ายใน Windows คือข้อเท็จจริงที่ว่าโดยค่าเริ่มต้นแล้ว ผู้ใช้ทั้งหมดอาจเห็นโครงสร้างและรายการไฟล์และไดเร็กทอรีทั้งหมดในโฟลเดอร์ดังกล่าวเป็นอย่างน้อย ซึ่งรวมถึงโฟลเดอร์ที่ไม่มีสิทธิ์เข้าถึง NTFS ( เมื่อพยายามเปิดไฟล์หรือโฟลเดอร์ดังกล่าว ผู้ใช้จะได้รับข้อผิดพลาด “Access Denied”) ทำไมไม่ซ่อนไฟล์และโฟลเดอร์เหล่านั้นจากผู้ใช้ที่ไม่มีสิทธิ์ในการเข้าถึง การแจงนับตามการเข้าถึงสามารถช่วยได้ เมื่อเปิดใช้งาน ABE ในโฟลเดอร์ที่ใช้ร่วมกัน คุณจะมั่นใจได้ว่าผู้ใช้ที่แตกต่างกันจะเห็นรายการโฟลเดอร์และไฟล์ที่แตกต่างกันในเครือข่ายเดียวกันที่ใช้ร่วมกันโดยขึ้นอยู่กับสิทธิ์การเข้าถึง (ACL) ของผู้ใช้แต่ละราย

การโต้ตอบระหว่างไคลเอ็นต์และเซิร์ฟเวอร์เกิดขึ้นเมื่อเข้าถึงโฟลเดอร์ที่ใช้ร่วมกันผ่าน SMB อย่างไร

• ไคลเอนต์ร้องขอให้เซิร์ฟเวอร์เข้าถึงไดเร็กทอรีในโฟลเดอร์แชร์บนเครือข่าย

• บริการ LanmanServer บนเซิร์ฟเวอร์ตรวจสอบสิทธิ์ของผู้ใช้ในการเข้าถึงโฟลเดอร์นี้

• หากอนุญาตการเข้าถึง (สิทธิ์ NTFS: แสดงรายการเนื้อหา อ่านหรือเขียน) ผู้ใช้จะเห็นเนื้อหาของไดเร็กทอรี

• จากนั้นผู้ใช้ร้องขอการเข้าถึงไฟล์หรือโฟลเดอร์ย่อยด้วยวิธีเดียวกัน (คุณสามารถดูว่าใครเปิดไฟล์เฉพาะในโฟลเดอร์เครือข่ายเช่นนี้)

• หากการเข้าถึงถูกปฏิเสธ ผู้ใช้จะได้รับแจ้งตามนั้น

ตามโครงร่างนี้ เป็นที่ชัดเจนว่าเซิร์ฟเวอร์จะแสดงเนื้อหาทั้งหมดของโฟลเดอร์แก่ผู้ใช้ก่อน และสิทธิ์ NTFS จะถูกตรวจสอบเฉพาะเมื่อผู้ใช้พยายามเปิดไฟล์หรือโฟลเดอร์เฉพาะ

การแจงนับตามการเข้าถึง (ABE) อนุญาตให้ตรวจสอบสิทธิ์การเข้าถึงอ็อบเจ็กต์ระบบไฟล์ก่อนที่ผู้ใช้จะได้รับรายการเนื้อหาของโฟลเดอร์ ดังนั้น รายการสุดท้ายจึงมีเฉพาะวัตถุที่ผู้ใช้มีสิทธิ์เข้าถึง NTFS (อย่างน้อยสิทธิ์แบบอ่านอย่างเดียว) และทรัพยากรที่ไม่สามารถเข้าถึงได้ทั้งหมดจะไม่แสดง (ซ่อนไว้)

หมายความว่าผู้ใช้จากแผนกหนึ่ง (เช่น คลังสินค้า) จะเห็นรายการไฟล์และโฟลเดอร์หนึ่งรายการในโฟลเดอร์ที่ใช้ร่วมกัน (\filesrv1\docs) อย่างที่คุณเห็น มีเพียงสองโฟลเดอร์เท่านั้นที่แสดงสำหรับผู้ใช้: สาธารณะและคลังสินค้า

และสำหรับผู้ใช้จากแผนกอื่น เช่น g. แผนกไอที (ซึ่งรวมอยู่ในกลุ่มความปลอดภัยของ Windows อื่น) รายการโฟลเดอร์ย่อยที่แตกต่างกันจะแสดงขึ้น นอกจากไดเร็กทอรี Public และ Warehouse แล้ว ผู้ใช้รายนี้ยังเห็นอีก 5 ไดเร็กทอรีในโฟลเดอร์เครือข่ายเดียวกัน

ข้อเสียเปรียบหลักของการใช้ ABE บนเซิร์ฟเวอร์ไฟล์ของ Windows คือ โหลดเพิ่มเติมบนเซิร์ฟเวอร์ โดยเฉพาะอย่างยิ่งในเซิร์ฟเวอร์ไฟล์โหลดสูง ยิ่งมีวัตถุจำนวนมากในไดเร็กทอรีที่ดู และยิ่งมีผู้ใช้เปิดไฟล์ในไดเร็กทอรีมาก ความล่าช้าก็จะยิ่งนานขึ้น ตาม Microsoft หากมีวัตถุ 15,000 รายการ (ไฟล์และไดเร็กทอรี) ในโฟลเดอร์ที่แสดง โฟลเดอร์จะเปิดช้าลง 1-3 วินาที นั่นเป็นเหตุผลที่แนะนำให้ใส่ใจอย่างมากกับการสร้างโครงสร้างโฟลเดอร์ย่อยที่ชัดเจนและเป็นลำดับชั้นเมื่อออกแบบโครงสร้างโฟลเดอร์ที่ใช้ร่วมกัน เพื่อทำให้การหน่วงเวลาเมื่อเปิดโฟลเดอร์น้อยลง

คุณสามารถจัดการ ABE ได้จากพรอมต์คำสั่ง (ยูทิลิตี้ abecmd.exe ) จาก GUI, PowerShell หรือ API พิเศษ

ข้อจำกัดการแจงนับตามการเข้าถึง

การแจงนับตามการเข้าถึงบน Windows ไม่ทำงานในกรณีต่อไปนี้:

• หากคุณใช้ Windows XP หรือ Windows Server 2003 โดยไม่มี Service Pack 1 เป็นไฟล์เซิร์ฟเวอร์

• หากคุณกำลังดูไดเร็กทอรีในเครื่อง (โดยตรงจากเซิร์ฟเวอร์)

• สำหรับสมาชิกของกลุ่มผู้ดูแลระบบเซิร์ฟเวอร์ไฟล์ในเครื่อง (พวกเขามักจะเห็นรายการไฟล์ทั้งหมด)

การใช้ ABE บน Windows Server 2008/ 2008 R2

ใน Windows Server 2008/R2 เพื่อใช้ฟังก์ชันการแจงนับตามการเข้าถึง ไม่จำเป็นต้องติดตั้งคอมโพเนนต์เพิ่มเติม เนื่องจากคุณลักษณะการจัดการ ABE มีอยู่แล้วใน Windows GUI หากต้องการเปิดใช้งานการแจงนับตามการเข้าถึงสำหรับบางโฟลเดอร์ใน Windows Server 2008/2008 R2 ให้เปิดคอนโซลการจัดการ MMC การจัดการการแชร์และการจัดเก็บ (เริ่ม -> โปรแกรม -> เครื่องมือการดูแลระบบ -> การแบ่งปันและการจัดการพื้นที่เก็บข้อมูล) . ไปที่คุณสมบัติของการแบ่งปันที่จำเป็น จากนั้นไปที่การตั้งค่า ขั้นสูง และเลือกเปิดใช้งานการแจงนับตามการเข้าถึง

การกำหนดค่าการแจงนับตามการเข้าถึงบน Windows Server 2012 R2/ 2016

การกำหนดค่า ABE ใน Windows Server 2012 R2/2016 นั้นง่ายมากเช่นกัน หากต้องการเปิดใช้งาน ABE ใน Windows Server 2012 ก่อนอื่นคุณต้องติดตั้ง บทบาทบริการไฟล์และที่เก็บข้อมูล จากนั้นไปที่คุณสมบัติการใช้ร่วมกันในตัวจัดการเซิร์ฟเวอร์

ในส่วน การตั้งค่าให้เลือกตัวเลือก เปิดใช้งานการแจงนับตามการเข้าถึง

การใช้การแจงนับตามการเข้าถึงบน Windows Server 2003

ใน Windows Server 2003 (ยังไม่รองรับในขณะนี้) ABE ได้รับการสนับสนุนตั้งแต่ Service Pack 1 หากต้องการเปิดใช้งานการแจงนับตามการเข้าถึงใน Windows Server 2003 SP1 (หรือใหม่กว่า) คุณต้องดาวน์โหลดและติดตั้งแพ็คเกจตามลิงค์นี้ http://www.microsoft.com/en-us/download/details.aspx?id=17510 . ระหว่างการติดตั้ง คุณต้องระบุว่าจะเปิดใช้งาน ABE สำหรับโฟลเดอร์ที่ใช้ร่วมกันทั้งหมดบนเซิร์ฟเวอร์ของคุณ หรือคุณจะกำหนดค่าด้วยตัวเอง หากคุณเลือกตัวเลือกที่สอง แท็บใหม่ การแจงนับตามการเข้าถึง จะปรากฏในคุณสมบัติการใช้ร่วมกันของเครือข่ายหลังการติดตั้ง

หากต้องการเปิดใช้งาน ABE สำหรับบางโฟลเดอร์ ให้เลือกตัวเลือก เปิดใช้งานการแจงนับตามการเข้าถึงบนโฟลเดอร์ที่ใช้ร่วมกันนี้ ในคุณสมบัติ

สิ่งสำคัญคือต้องระบุว่า Windows 2003 รองรับการแจงนับการเข้าถึงตาม DFS แต่สามารถกำหนดค่าได้จากพรอมต์คำสั่งโดยใช้ cacls เท่านั้น

การจัดการ ABE จากพรอมต์คำสั่ง

คุณสามารถจัดการการตั้งค่าการแจงนับตามการเข้าถึงได้จากพรอมต์คำสั่งโดยใช้ยูทิลิตี้ Abecmd.exe เครื่องมือนี้เป็นส่วนหนึ่งของแพ็คเกจการแจงนับที่ใช้การเข้าถึงสำหรับ Windows Server 2003 SP1 (ดูลิงก์ด้านบน)

Abecmd.exe อนุญาตให้เปิดใช้งาน ABE สำหรับไดเรกทอรีทั้งหมดพร้อมกันหรือเฉพาะบางไดเรกทอรีเท่านั้น คำสั่งถัดไปเปิดใช้งานการแจงนับตามการเข้าถึงสำหรับการแบ่งปันทั้งหมด:

abecmd /enable /all

อันนี้สำหรับบางโฟลเดอร์ (เช่น โฟลเดอร์แชร์บนเครือข่ายชื่อ Docs):

abecmd /enable Docs

การจัดการการแจงนับตามการเข้าถึงโดยใช้ PowerShell

คุณสามารถใช้โมดูล SMBShare PowerShell (ติดตั้งตามค่าเริ่มต้นใน Windows 10/ 8.1 และ Windows Server 2016/2012 R2) เพื่อจัดการการตั้งค่าของ Access Based Enumeration สำหรับโฟลเดอร์เฉพาะ มาดูคุณสมบัติของโฟลเดอร์แชร์เฉพาะ:

Get-SmbShare Install|fl *

คุณสามารถตรวจสอบสถานะของ ABE สำหรับโฟลเดอร์ที่ใช้ร่วมกันทั้งหมดของเซิร์ฟเวอร์:

Get-SmbShare | Select-Object Name,FolderEnumerationMode

ในการเปิดใช้งาน ABE สำหรับโฟลเดอร์เฉพาะ:

Get-SmbShare Install | Set-SmbShare -FolderEnumerationMode AccessBased

Get-SmbShare | Set-SmbShare -FolderEnumerationMode AccessBased

หากต้องการปิดใช้งาน ABE ให้ใช้คำสั่ง:

Get-SmbShare Install | Set-SmbShare -FolderEnumerationMode Unrestricted

การแจงนับตามการเข้าถึงใน Windows 10/8.1/7

ผู้ใช้จำนวนมาก โดยเฉพาะอย่างยิ่งในบ้านหรือเครือข่าย SOHO ต้องการใช้คุณสมบัติการแจงนับด้วยการเข้าถึง ปัญหาคือระบบปฏิบัติการไคลเอ็นต์ของ Microsoft ไม่มีอินเทอร์เฟซแบบกราฟิกหรือคำสั่งในการจัดการการแจงนับแบบอิงตามการเข้าถึง

ใน Windows 10 (เซิร์ฟเวอร์ 2016) และ Windows 8.1 (เซิร์ฟเวอร์ 2012R2) คุณสามารถใช้ PowerShell เพื่อจัดการการแจงนับตามการเข้าถึง (ดูหัวข้อด้านบน) ใน Windows รุ่นเก่า คุณต้องติดตั้ง PowerShell เวอร์ชันล่าสุด (>= 5.0) หรือใช้ยูทิลิตี้ abecmd.exe จากแพ็คเกจ Windows Server 2003 ซึ่งจะทำงานได้ดีบนระบบปฏิบัติการไคลเอนต์ เนื่องจากไม่ได้ติดตั้งแพคเกจการแจงนับที่ใช้การเข้าถึงของ Windows Server 2003 บน Windows 10, 8.1 หรือ 7 คุณต้องติดตั้งก่อนบน Windows Server 2003 แล้วจึงคัดลอกจากไดเรกทอรี C:\windows\system32 ไปยังโฟลเดอร์เดียวกันบน ลูกค้า. หลังจากนั้น คุณสามารถเปิดใช้งาน ABE ตามคำสั่งที่อธิบายไว้ข้างต้น

dfsutil property abde enable \\namespace_root

นอกจากนี้ คุณสามารถเปิดใช้งาน ABE บนคอมพิวเตอร์ในโดเมน AD โดยใช้ GPO ซึ่งสามารถทำได้โดยใช้ GPP ในส่วน: การกำหนดค่าคอมพิวเตอร์ -> ค่ากำหนด -> การตั้งค่า Windows -> เครือข่ายที่ใช้ร่วมกัน ).