Файловый сервер: общие папки по-взрослому

Два слоя прав — главное, что надо понять

Доступ к сетевой папке в Windows проверяется дважды: правами общего доступа (share) на входе и правами NTFS на самих файлах. Действует строже из двух. Отсюда рабочее правило, снимающее девяносто процентов путаницы: на share даёшь широкий доступ (например, «Прошедшие проверку — изменение»), а всю настоящую раздачу прав делаешь на NTFS — группами, не людьми.

Группами — принципиально: право «папку Бухгалтерия читает и пишет группа Бухгалтерия» живёт годами, а список фамилий устаревает с первым увольнением. Пришёл человек — добавил его в группу Active Directory, и все доступы у него.

Настройка по шагам

1. Структура папок от оргструктуры. Обычно так: Общая (всем), по папке на отдел, Обмен (свалка с автоочисткой). Плоско и предсказуемо: глубокие деревья прав превращаются в археологию.
2. Группы под папки. В AD: Бухгалтерия, Кадры, Склад. Без домена группы локальные, принцип тот же.
3. Расшарь и раздай NTFS. Свойства папки → Доступ → Расширенная настройка; затем вкладка Безопасность: группе отдела — изменение, всем остальным — ничего. Наследование сверху отключи там, где права должны отличаться.
4. Включи теневые копии. Свойства диска → Теневые копии: снимки по расписанию, и «я случайно удалил отчёт» решается правым кликом → «Восстановить прежнюю версию» вместо разворачивания бэкапа. Бэкапы это не отменяет: правило 3-2-1 никто не снимал.
5. Подключи людям диски политикой. Буква диска на папку отдела раздаётся через групповые политики: у каждого сотрудника папки появляются сами при входе.

# PowerShell на сервере:
New-SmbShare -Name "Buhgalteria" -Path D:\Shares\Buhgalteria -ChangeAccess "Прошедшие проверку"
Get-SmbShare                    # что расшарено
Get-SmbOpenFile                 # кто какие файлы держит открытыми
Close-SmbOpenFile -FileId 123   # отпустить залипший файл («документ занят»)

Типовые грабли

• «Доступ есть, а войти не может». Смотри оба слоя: чаще всего на share стоит «только чтение», которое душит щедрые NTFS-права.
• Права выданы, но не работают. Членство в группе подхватывается при входе в систему: после добавления в группу человеку нужно перезайти.
• «Файл занят другим пользователем». Кто-то ушёл домой с открытым документом. Команда Close-SmbOpenFile выше — вежливое решение без перезагрузки сервера.
• Всем дали «полный доступ». Полный доступ включает право менять чужие права — рецепт хаоса. Рабочий максимум для людей — «изменение».

Файловый сервер с правами по отделам — одна из обязательных работ на стенде курса Windows и Linux с нуля: она же пункт чек-листа навыков, который проверяют на собеседованиях.

Частые вопросы

Куда дальше