10 نكته درباره كار با مجوزها
1 – NTFS و مجوزهاي اشتراكي
مهمترين نكته گيجكننده درخصوص بهاشتراكگذاري در سيستمهاي تحت ويندوز اين است كه NTFS و مجوزهاي سطح اشتراك، هر دو روي توانايي كاربر در دسترسي به منابع موجود روي شبكه تأثير خواهند گذاشت. همواره بهياد داشته باشيد كه در ويندوز اکسپي و ويندوز 2003 سرور (و بهخصوص نسخههاي بعدي اين سيستمعامل) مجوزهاي اشتراكي بهعنوان پيشفرض روي Read-Only تنظيم شدهاند.
اين مطلب موجب خواهد شد تا مجوزهاي NTFS در زمان دسترسي به آنان از طريق شبكه به حالت Read محدود ميشوند.
بهترين راه براي تشخيص مجوزهاي اشتراكي از مجوزهاي NTFS در نظر گرفتن اين نكته است كه مجوزهاي اشتراكي بهعنوان دروازه ورودي منابع بهحساب ميآيند. فقط پس از بهاشتراكگذاري مجوزها و بعد از Change و/ يا Full Control است كه مجوزهاي NTFS ميتوانند مورد استفاده قرار گيرند.
تركيب مجوزهاي سطح اشتراكي و مجوزهاي NTFS ميتواند بهعنوان ظرفيت بالاسري مدير شبكه فرض شود، اما بهخاطر داشته باشيد: مجوزهاي اشتراكي نقش دروازه ورود و دسترسي به منابع شبكهاي را ايفا ميكنند. وقتي از طريق يك مجوز اشتراكي وارد يكي از منابع شبكهاي ميشويد، اين مجوز بهشما ديكته ميكند كه با توجه به شرايط اشتراك چه اختياراتي داريد.
مجوزهاي NTFS مشخص ميسازند كه چه كارهايي را ميتوانيد با فايلها و فولدرها انجام دهيد. در حالت Troubleshooting مشخص کنيد كه آيا سطح اشتراكي ميتواند در آنجا نقش ايجاد کند يا خير.
2 – از اشتراكهاي تو در تو (Nested) دوري كنيد
مشكلاتي كه با هر دو مجوز NTFS و مجوزهاي اشتراكي درگير هستند ميتوانند موقعيت را بسيار سخت و دشوار کنند. در ساختار فايلهاي خود از اشتراكهاي تودرتو پرهيز كنيد، زيرا اين وضعيت ميتواند در صورت دسترسي به منابع از طريق مجوزهاي مختلف موجب بروز اختلال و رفتارهاي ناسازگارانه در قبال منابع شبكهاي يكسان شود.
اينکار بهمنزله بهدنبال دردسر گشتن است. بهخصوص زماني كه مجوزهاي اشتراكي متفاوت باشند. اشتراک تودرتو یا Nested Share به پوشه به اشتراکگذاشتهای اطلاق ميشود که خود در داخل یک پوشه دیگر که خود به اشتراک گذاشته شده قرار داشته باشد.
البته، موجودیتهای مشترک و پنهان زیادی وجود دارند (از قبلي$لD$،C و مانند آنها) که در سطوح پايینتر از خود فایلها و پوشههای پنهان تودرتوی دیگری را بههمراه دارند که همگی نیز بهعنوان پیشفرض به این وضعیت هستند. در هر حال اگر کاربران از دو اشتراک غیر پنهان تودرتو استفاده کنند، این احتمال وجود دارد تا مجوزهای اشتراک دچار Conflict و ناسازگاری شوند.
3 - از CACLS و XCACLS استفاده کنید
شما میتوانید از CACLS و XCACLS بههمراه یکدیگر براي جمعآوری اطلاعات فایلهایی که منعکسکننده مجوزهای پیکربندی شده NTFS هستند، استفاده کنید. این ابزارها اطلاعات مربوط به مجوزهای فایلها و پوشههای خاص و روی منبع خاص را در اختیار مدیر شبکه قرار خواهند داد.
تفاوت بین مجوزهای NTFS و ACL (سرنام Access Control List) چیست؟ مجوزهای NTFS از داخل ويندوز اکسپلورر یا از طریق یک مکانیزم خودکار برای فایلها و پوشهها تعریف میشوند. این درحالی است که ACL عبارت است از نمایش و مدیریت عملیاتی که میتوان یا نمیتوان روی فایلهای همان منبع انجام داد.
شما میتوانید از CACLS و XCACLS برای افزودن یا برداشتن مجوزهای NTFS آنهم در محیط اسکریپت استفاده کنید. بههمین دليل، اگر حجم مجوزهایی که با آنها سر و کار دارید زیاد هستند، میتوانید با استفاده از یک اسکریپت بلندبالا آنان را مدیریت کنید.
بهعنوان یک تمرین خوب برای فایلها و فولدرهای مهم که بهاشتراک گذاشته شده و دارای یک مجوز منحصربهفرد NTFS هستند، میتوانید با استفاده از ابزار CALCS.EXE به ایجاد یک اسکریپت تسهیلکننده اقدام کرده و ACL فایلها و فولدرهای مجزا را ثبت کنيد (يا به صورت دستي مراحل را براي انجام اين کار طي کنيد).
توجه داشته باشید که میتوانید به آسانی و با اجرای CALCS * /T از داخل خط فرمان اقدام به ایجاد سندی حاوی مجوزهای NTFS کنيد که شامل اطلاعات مجوزهای فولدر، محتویات آن و زیرپوشهها باشد. چنین کاری روی منبع مقصد صورت خواهد گرفت و میتواند هنگام کار روی فولدرهای تودرتو و دارای مسیر طولانی، صددرصد توان پردازنده را بهخود اختصاص دهد.
البته، به فاکتورهای زیادی بستگی دارد، اما انجام یک بازبینی برای ایجادACL میتواند زمان بسیار طولانی را صرف کند. این شبیه حالتی است که میخواهید مجوزهای جدید NTFS را روی فولدرهای بزرگ اعمال کنيد.
4 - مقایسه بین مجوزهای ساده و مجوزهای ویژه NTFS
مجوزهای ویژه که فقط یک راستکلیک با آن فاصله دارید، امکانات بسیار بیشتری را در خصوص نیازمندیهای یک دسترسی خاص در اختیار مدیرسیستم خواهند گذاشت. قابل توجه است اگر بدانید استفاده از مجوزهای ویژه با پیچیدهتر کردن فرآیند مجوزدهی، موجب افزایش وظایف مدیریتی مرتبط با مجوزهای NTFS خواهد شد.
به همين دليل، بهترین حالت استفاده از مجوزها در زمانی است که واقعاً به آنها نیاز باشد. مجوزهای استاندارد NTFS اغلب ویژگیهای موردنیاز را برای یک دسترسی ایمن به منابع بهاشتراکگذاشته شده و منابع محلی در اختیار دارند.
نکته: مطمئن شوید که در زمان بروز مشکل، مجوزهای خاص برداشته شده باشند. تمام مدیران شبکه حداقل یکبار مشکلاتی را با مواردی مانند مجوزهای مشترک، مجوزهای NTFS، عضویتهای گروهی، اکانتهای کاربری مشترک و... تجربه کردهاند. در بسیاری از موارد یک نگاه به مجوزهای ویژه میتواند مشکل را بهسرعت شناسايی و برطرف کند.
5 - مجوزهای ویژه را جداگانه و روی منابع مختلف نگهدارید
اگر بتوانید این سناریو را اجرا کنید، تمرین خوبی خواهد بود تا بتوانید مجوزهای مورد نیاز منابع مختلف را بهصورت گروههای جداگانه یا فولدرهایی با مجوزهای مشابه با دیگر فولدرهای واقع در منابع دیگر تعریف و دستهبندی کنید. اختلاط مجوزهای استاندارد با مجوزهای ویژه در یک مکان مشترک میتواند وظایف مدیریتی را سنگینتر کند.
6 - درک مجوزهای موروثی
مجوزهای موروثی یا Inherited permissions يکي ازصفات پیشفرضی مجوزهای NTFS روی ویندوز 2003 و 2000 سرور است. این مجوزها به مدیر شبکه اجازه میدهند تا تنظیمات NTFS یک فولدر را به محتویات آن و تمام اشیاء و فولدرهای درون آن منتقل کنند.
توارث، هنگامی که از تنظیمات پیشفرض استفاده میکنیم درک آسانی دارد. اما زمانی که block میشود، عیبیابی آن کار دشواری خواهد بود. چنین دشواریاي زمانی که یک فولدر در داخل فولدر دیگری قرارمیگیرد، مشخصتر خواهد شد. در عیبیابی صفات موروثی بهتر است ابتدا کار را از روت مشکل آغاز کرده و در راستای ساختار شاخه بهسمت بالا حرکت کنیم.
7 - هنگام پاک کردن صفات موروثی مراقب باشید
وقتی صفات موروثی مجوزهای NTFS را از درون یک Parent Container پاک میکنید، با دو گزينه روبهرو هستید: Copy و Remove. گزينه Copy باعث Recurse شدن آبجکت Child و نوشتن مجوزهای NTFS از فولدر parent خواهد شد.
گزينه Remove تمام مجوزهای پیشفرض Administratorها، کاربران، Creative Owner ،System و... را که توسط NTFS ایجاد شدهاند، از داخل فهرست Group یا User Name برمیدارد. هنگام آزمایش دستور Remove مراقب بلوکه شدن خصیصههای موروثی باشید.
8 - از نتیجه طفره نروید!
بدترین کاری که در زمان حل مشکلات مرتبط با مجوزها میتوانید انجام دهید، ایناست که برای رفع مشکل، فردی را به عضویت گروه Admin یا دیگر گروههای دارای اختیارات قدرتمند درآورید. مشکل با افزودن مجوزهای بیشتر به کاربران حل نميشود. همیشه مشکل را شناسايی کرده و با توجه به شرایط بهترین راهحل را انتخاب کنید.
9 – هیچگاه بیش از اندازه مجوز ندهید
یکی از اشتباههاي رایج، اعطای مجوزهای بیش ازاندازه (معمولاً از طریق عضویت در گروهها) به کاربران برای دسترسی به منابع است. بهخصوص اگر از Active Directory استفاده میکنید، ایجاد ساختاری سازمانیافته با عضویتها و تعریف صحیح نیازهای دسترسی برای کاربران یا گروههای مدیریتی بهترین کاری است که میتوانید انجام دهید. تنظیمات فایروال را به گونهای انجام دهید که مطابق با نیازهای کاربران باشد.
اعطای مجوزهای بیش از اندازه در ظاهر مشکلی را ایجاد نخواهد کرد، اما این امکان وجود دارد تا بهعنوان تصادفی به یک گروه یا دیگر خصیصههای عضویت مجوزهای زیادی داده شود.
عضویت در گروهها آسانترین راه برای ایجاد دسترسی زیاد یا اندک به منابع خواهد بود. بهویژه در پیکربندی دامینها، پیچیدگی توسط عضویتهای چندگانه و/يا گروههای تودرتو افزایش خواهد یافت. از ابزار Effective Permissions برای مشاهده مجموعه نتایج و در زمان بهکارگیری AD از عضویت در گروهها استفاده کنيد.
هرچند از این طریق نمیتوان بهطور مستقيم مجوزهای NTFS را نمایش داد، اما میتوانید دریابید که عضویت در هر گروه برای هر آبجکت چگونه میتواند به رفع مشکل منجر شود.
10 - نحوه استفاده صحیح از Copy و Move
دستورات استاندارد Copy و Move نتایج مشخصی را بههمراه دارند که میتوان از آنان برای بررسی پیکربندی مجوزها (یا شکستن آنها) استفاده کرد. يك راه خوب براي بهخاطر سپردن اين مطلب اين است كه در نظر داشتهباشيم، عمليات Copy موجب ايجاد مجوزهايي برمبناي Container مقصد شده و Move از Parent Container محافظت ميکند.
مكانيزم بهيادسپاري: CC/MM – CopyCreate/MoveMaintain يا اينكه CopyCreate/MoveMake. البته، يك نكته نيز وجود دارد و آن نياز به كپيکردن منابع و نگهداري از مجوزهاي NTFS است كه ايجاد دوباره آنها قدري مشكل است.
ابزار حذف شده SCOPY همان امكانات دستور XCOPY را با پارامترهاي O/ و X/ در اختيار قرار ميدهد. استفاده از اين فرمان بههمراه پارامترهاي مربوطه به عمليات COPY اجازه ميدهد فايلها يا فولدرها را در مكان جديد كپيكرده و مجوزهاي NTFS آنان را معادل با مجوزهاي Source Container تعريف كنند.
