File Storage NAS:Montar e usar um sistema de arquivos SMB em um cliente Windows como usuário de domínio AD

Executar o comando mklink para montar o sistema de arquivos SMB

O comando mklink cria um link simbólico para o ponto de montagem do sistema de arquivos SMB em um disco local do cliente Windows, facilitando a visualização e edição das ACLs de arquivos e diretórios.

1. Use o Prompt de Comando para criar mapeamentos para o sistema de arquivos.

   mklink /D c:\myshare \\nas-mount-target.nas.aliyuncs.com\myshare

   Neste comando, c:\myshare representa o caminho local para o link simbólico, enquanto \\nas-mount-target.nas.aliyuncs.com\myshare corresponde ao caminho do ponto de montagem do seu sistema de arquivos SMB.

2. Conceda permissões de uso de links simbólicos aos usuários comuns.

   Se estiver usando a conta Administrator, pule esta etapa.

   1. Como administrador, pesquise e execute secpol.msc.

   2. Na janela Local Security Policy, navegue até Local Policies > User Rights Assignment. Clique duas vezes na política Create symbolic links. Na caixa de diálogo de propriedades exibida, clique em Add User or Group para adicionar o usuário.

   3. Faça logon novamente no cliente Windows como usuário comum.

3. Acesse o sistema de arquivos SMB e visualize as ACLs de arquivos e diretórios.

   Com o link simbólico criado, acesse o sistema de arquivos SMB da mesma forma que acessaria um subdiretório de um disco local no Windows. Isso também permite visualizar e editar as ACLs de arquivos e diretórios.

Usar o Windows File Explorer para visualizar e editar as ACLs de arquivos e diretórios

Depois de criar um link simbólico para o ponto de montagem do sistema de arquivos SMB em um disco local do cliente Windows, use o Windows File Explorer para visualizar e editar as ACLs de arquivos e diretórios.

1. Localize o arquivo ou diretório desejado, clique com o botão direito nele e selecione Properties.

2. Na caixa de diálogo Properties, vá para a aba Security e clique em Edit.

3. Na caixa de diálogo de permissões, clique em Add. Na caixa de diálogo Select Users, Computers, Service Accounts, or Groups, confirme se o campo From this location está definido para o seu domínio AD. No campo Enter the object names to select, insira o nome de usuário alvo e clique em OK.

Ao navegar pelo sistema de arquivos SMB no File Explorer, utilize os botões de seta Back ou Up para percorrer a árvore de diretórios. Evite usar o caminho de navegação (breadcrumb) da barra de endereços para retornar a pastas pai.

O sistema de arquivos SMB do Alibaba Cloud não está ingressado no seu domínio AD. Se você acessar o compartilhamento pelo caminho de rede (por exemplo, \\nas-mount-point.nas.aliyuncs.com\myshare) em vez do caminho do link simbólico local (por exemplo, C:\myshare), poderá encontrar um erro RPC server is unavailable ao tentar definir ACLs. Esse erro ocorre porque o cliente não consegue verificar se o ponto de montagem faz parte do domínio.

Comandos do PowerShell

Use os cmdlets Get-Acl e Set-Acl no PowerShell para visualizar e editar ACLs de arquivos e diretórios.

• Get-Acl

  $value = Get-Acl -Path "Z:"
  # Set properties
  $value.Access

  PS C:\Users\testmonkey> $value
  
      Directory:
  
  Path  Owner     Access
  Z:\   Everyone  Everyone Allow  FullControl...
  
  PS C:\Users\testmonkey> $value.Access
  
  FileSystemRights  : FullControl
  AccessControlType : Allow
  IdentityReference : Everyone
  IsInherited       : False
  InheritanceFlags  : None
  PropagationFlags  : None
  
  FileSystemRights  : FullControl
  AccessControlType : Allow
  IdentityReference : CREATOR OWNER
  IsInherited       : False
  InheritanceFlags  : ContainerInherit, ObjectInherit
  PropagationFlags  : InheritOnly
  
  FileSystemRights  : FullControl
  AccessControlType : Allow
  IdentityReference : NT AUTHORITY\SYSTEM
  IsInherited       : False
  InheritanceFlags  : ContainerInherit, ObjectInherit
  PropagationFlags  : None
  
  FileSystemRights  : FullControl
  AccessControlType : Allow
  IdentityReference : BUILTIN\Administrators
  IsInherited       : False
  InheritanceFlags  : ContainerInherit, ObjectInherit
  PropagationFlags  : None

  # Set properties
  $identity = "Administrator"
  $fileSystemRights = "FullControl"
  $type = "Allow"
  # Create a new rule
  $fileSystemAccessRuleArgumentList = $identity, $fileSystemRights, $type
  $fileSystemAccessRule = New-Object -TypeName System.Security.AccessControl.FileSystemAccessRule -ArgumentList $fileSystemAccessRuleArgumentList
  # Apply the new rule
  $value.SetAccessRule($fileSystemAccessRule)
  $value.Access

  FileSystemRights  : FullControl
  AccessControlType : Allow
  IdentityReference : Everyone
  IsInherited       : False
  InheritanceFlags  : None
  PropagationFlags  : None
  
  FileSystemRights  : FullControl
  AccessControlType : Allow
  IdentityReference : CREATOR OWNER
  IsInherited       : False
  InheritanceFlags  : ContainerInherit, ObjectInherit
  PropagationFlags  : InheritOnly
  
  FileSystemRights  : FullControl
  AccessControlType : Allow
  IdentityReference : NT AUTHORITY\SYSTEM
  IsInherited       : False
  InheritanceFlags  : ContainerInherit, ObjectInherit
  PropagationFlags  : None
  
  FileSystemRights  : FullControl
  AccessControlType : Allow
  IdentityReference : BUILTIN\Administrators
  IsInherited       : False
  InheritanceFlags  : ContainerInherit, ObjectInherit
  PropagationFlags  : None
  
  FileSystemRights  : FullControl
  AccessControlType : Allow
  IdentityReference : DOMAIN\Administrator
  IsInherited       : False
  InheritanceFlags  : None
  PropagationFlags  : None

• Set-Acl

  O cmdlet Set-Acl dispensa a criação de um link simbólico com mklink c:\myshare. Ele permite modificar diretamente as permissões no caminho da unidade montada, incluindo o diretório raiz.

  Set-Acl $value -Path "Z:"

  Importante

  Recomendamos configurar as permissões para modificar diretórios raiz logo após a criação do sistema de arquivos. Caso contrário, será necessário modificar subdiretórios e arquivos individualmente ao executar o comando, pois as permissões são herdadas do diretório raiz para os subdiretórios.

Comando icacls

O comando icacls é o padrão para operações de ACL na linha de comando do Windows. Use o comando icacls para visualizar e editar as ACLs de arquivos ou diretórios.

Exemplo:

icacls z:
# Grant a user Full Control permissions.
icacls z: /grant <username>:(F)
# Grant the administrator Full Control permissions.
icacls z: /grant administrator:(F)
icacls z:
# Remove all permissions for a user.
icacls z: /remove <username>
# Remove all permissions for the Everyone group.
icacls z: /remove Everyone
icacls z:

C:\Users\Administrator>icacls z:
z: Everyone:(F)
   CREATOR OWNER:(OI)(CI)(IO)(F)
   NT AUTHORITY\SYSTEM:(F)
   BUILTIN\Administrators:(F)
   BEIJING-H\qinzhou:(F)

Successfully processed 1 files; Failed processing 0 files

C:\Users\Administrator>icacls z: /grant Administrator:(F)
processed file: z:
Successfully processed 1 files; Failed processing 0 files

C:\Users\Administrator>icacls z:
z: BEIJING-H\administrator:(F)
   Everyone:(F)
   CREATOR OWNER:(OI)(CI)(IO)(F)
   NT AUTHORITY\SYSTEM:(F)
   BUILTIN\Administrators:(F)
   BEIJING-H\qinzhou:(F)

Successfully processed 1 files; Failed processing 0 files

C:\Users\Administrator>icacls z:
z: Everyone:(F)
   CREATOR OWNER:(OI)(CI)(IO)(F)
   NT AUTHORITY\SYSTEM:(F)
   BUILTIN\Administrators:(F)
   BEIJING-H\qinzhou:(F)

Successfully processed 1 files; Failed processing 0 files

C:\Users\Administrator>icacls z: /remove Everyone
processed file: z:
Successfully processed 1 files; Failed processing 0 files

C:\Users\Administrator>icacls z:
z: CREATOR OWNER:(OI)(CI)(IO)(F)
   NT AUTHORITY\SYSTEM:(F)
   BUILTIN\Administrators:(F)
   BEIJING-H\qinzhou:(F)

Successfully processed 1 files; Failed processing 0 files