Condividi tramite

Abilitare l'enumerazione basata sull'accesso in uno spazio dei nomi

L'enumerazione basata sull'accesso nasconde file e cartelle a cui gli utenti non sono autorizzati ad accedere. Per impostazione predefinita, questa funzionalità non è abilitata per gli spazi dei nomi del file system distribuito (DFS). È possibile abilitare l'enumerazione basata sull'accesso delle cartelle del file system DFS tramite Gestione DFS. Per controllare l'enumerazione basata sull'accesso di file e cartelle nelle destinazioni delle cartelle, è necessario abilitarla in ogni cartella condivisa tramite Gestione condivisione e archiviazione.

Per abilitare l'enumerazione basata sull'accesso in uno spazio dei nomi, tutti i server dello spazio dei nomi devono eseguire Windows Server 2008 o versione successiva. Inoltre, gli spazi dei nomi basati su dominio devono usare la modalità Windows Server 2008. Per informazioni sui requisiti della modalità Windows Server 2008, vedere Scegliere un tipo di spazio dei nomi.

In alcuni ambienti l'abilitazione dell'enumerazione basata sull'accesso può causare un utilizzo elevato della CPU nel server e tempi di risposta lenti per gli utenti.

Nota

Se si aggiorna il livello funzionale del dominio a Windows Server 2008 mentre sono presenti spazi dei nomi basati su dominio esistenti, Gestione DFS consentirà di abilitare l'enumerazione basata sull'accesso in questi spazi dei nomi. Tuttavia, non sarà possibile modificare le autorizzazioni per nascondere le cartelle a gruppi o utenti, a meno che non si esegua la migrazione degli spazi dei nomi alla modalità Windows Server 2008. Per altre informazioni, vedere Eseguire la migrazione di uno spazio dei nomi basato su dominio alla modalità Windows Server 2008.

Per usare l'enumerazione basata sull'accesso con spazi dei nomi DFS, è necessario seguire questa procedura:

  • Abilitare l'enumerazione basata sull'accesso in uno spazio dei nomi
  • Controllare quali utenti e gruppi possono visualizzare singole cartelle DFS

Avviso

L'enumerazione basata sull'accesso non impedisce agli utenti di ottenere una segnalazione a una destinazione di cartella se conoscono già il percorso DFS. Solo le autorizzazioni di condivisione o le autorizzazioni per il file system NTFS della destinazione di cartella stessa (cartella condivisa) possono impedire agli utenti di accedere a una destinazione di cartella. Le autorizzazioni per le cartelle DFS vengono usate solo per visualizzare o nascondere cartelle DFS, non per controllare l'accesso, per cui l'accesso in lettura è l'unica autorizzazione pertinente a livello di cartella DFS. Per ulteriori informazioni, vedere Uso delle autorizzazioni ereditate con l'enumerazione Access-Based


È possibile abilitare l'enumerazione basata sull'accesso in uno spazio dei nomi usando l'interfaccia di Windows o una riga di comando.

Per abilitare l'enumerazione basata sull'accesso tramite l'interfaccia di Windows

  1. Nell'albero della console, nel nodo Spazi dei nomi fare clic con il pulsante destro del mouse sullo spazio dei nomi appropriato e quindi scegliere Proprietà .

  2. Fare clic sulla scheda Avanzate e quindi selezionare la casella di controllo Abilita enumerazione basata sull'accesso per questo spazio dei nomi .

Per abilitare l'enumerazione basata sull'accesso tramite una riga di comando

  1. Aprire una finestra del prompt dei comandi su un server con il servizio ruolo File System Distribuito o la funzionalità Strumenti del File System Distribuito installata.

  2. Digitare il comando seguente, dove <namespace_root> è la radice dello spazio dei nomi:

    dfsutil property abe enable \\ <namespace_root>

Suggerimento

Per gestire l'enumerazione basata sull'accesso in uno spazio dei nomi tramite Windows PowerShell, usare i cmdlet Set-DfsnRoot, Grant-DfsnAccess e Revoke-DfsnAccess . Il modulo DFSN di Windows PowerShell è stato introdotto in Windows Server 2012.

È possibile controllare quali utenti e gruppi possono visualizzare singole cartelle DFS usando l'interfaccia di Windows o tramite una riga di comando.

Per controllare la visibilità delle cartelle tramite l'interfaccia di Windows

  1. Nell'albero della console, nel nodo Spazi dei nomi individuare la cartella con le destinazioni per cui si desidera controllare la visibilità, fare clic con il pulsante destro del mouse su di essa e quindi scegliere Proprietà.

  2. Fare clic sulla scheda Avanzate .

  3. Fare clic su Imposta autorizzazioni di visualizzazione esplicite per la cartella DFS e quindi su Configura autorizzazioni di visualizzazione.

  4. Aggiungere o rimuovere gruppi o utenti facendo clic su Aggiungi o Rimuovi.

  5. Per consentire agli utenti di visualizzare la cartella DFS, selezionare il gruppo o l'utente e quindi selezionare la casella di controllo Consenti .

    Per nascondere la cartella da un gruppo o da un utente, selezionare il gruppo o l'utente e quindi selezionare la casella di controllo Nega .

Per controllare la visibilità delle cartelle tramite una riga di comando

  1. Aprire una finestra del prompt dei comandi in un server con il servizio ruolo File System distribuito o la funzionalità Strumenti File System distribuito installata.

  2. Digitare il comando seguente, dove <DFSPath> è il percorso della cartella DFS (collegamento), <DOMAIN\Account> è il nome del gruppo o dell'account utente e (...) viene sostituito con voci aggiuntive di controllo di accesso (ACL):

    dfsutil property sd grant <DFSPath> DOMAIN\Account:R (...) Protect Replace

    Ad esempio, per sostituire le autorizzazioni esistenti con autorizzazioni che consentono ai gruppi Domain Admins e CONTOSO\Trainers l'accesso in lettura alla cartella \contoso.office\public\training, digitare il comando seguente:

    dfsutil property sd grant \\contoso.office\public\training "CONTOSO\Domain Admins":R CONTOSO\Trainers:R Protect Replace

  3. Per eseguire attività aggiuntive dal prompt dei comandi, usare i comandi seguenti:

Comando Descrizione
Dfsutil property sd deny Nega a un gruppo o a un utente la possibilità di visualizzare la cartella.
Proprietà Dfsutil sd ripristinare Rimuove tutte le autorizzazioni dalla cartella.
Dfsutil property sd revoke Rimuove una voce di controllo di accesso di un gruppo o un utente dalla cartella.

Riferimenti aggiuntivi