使用Windows权限控制功能实现基于访问权限的枚举

前提条件

• 已创建 SMB 共享并开启 Windows 权限控制功能。详细步骤请参见开启Windows权限控制。

• 已创建 Windows 系统的ECS实例作为客户端，且该ECS实例与云存储网关处于同一专有网络（VPC）中。详细步骤请参见步骤一：创建ECS实例。

• 域控制器中已创建三个域用户：Administrator、user1 和 user2。

背景信息

在 Windows 文件系统中，即使用户没有权限访问某个文件或文件夹，该文件或文件夹默认对所有用户可见。启用 ABE 后，挂载至客户端的共享目录只向每个用户显示其有权访问的文件夹，共享目录本身仍然可见。

ABE 适用于以下场景：

• 保护敏感目录：隐藏包含敏感信息（如客户数据、开发中的项目）的文件夹，防止无权限用户看到目录名称。

• 简化目录结构：在大型共享目录中，只显示与用户相关的文件夹，减少干扰。

本文中ECS实例的操作系统为 Windows Server 2012 R2 数据中心版。

添加用户权限

在云存储网关控制台为域用户授予 SMB 共享的读写权限。添加新用户时，已有的共享权限不受影响。

1. 登录云存储网关控制台。

2. 选择目标文件网关所在的地域，在网关列表页面找到并单击目标文件网关。

3. 单击共享页签，在目标 SMB 共享右侧的操作列中单击设置。

4. 在SMB共享设置对话框中，将 Administrator、user1 和 user2 加入读写权限用户列表。

5. 单击确认。

挂载共享目录并设置文件夹权限

将 SMB 共享挂载到 Windows ECS实例后，通过 NTFS 权限控制每个用户只能访问各自的文件夹。

1. 登录 Windows 系统的ECS实例。

2. 打开计算机，单击映射网络驱动器。

3. 选择驱动器，在文件夹框中输入云存储网关的挂载点，然后单击完成。

   挂载点可在云存储网关控制台目标网关的共享页面查看。

4. 在Windows安全对话框中，输入 Administrator 及其密码，单击确定。

   用户名格式为 <AD域名>\Administrator，其中 <AD域名> 为 Active Directory (AD) 域名。

5. 进入挂载后的共享目录，创建两个文件夹： user1和 user2。

6. 右键单击 user1文件夹，单击属性，选择安全页签。

7. 按以下步骤设置 user1文件夹的权限，使只有 Administrator 和 user1 有操作权限。

   1. 单击高级，在权限页签中单击禁用继承，删除Everyone和Domain Users的权限，单击应用并确定。

   2. 单击编辑，在权限对话框中单击添加，输入 user1 并单击检查名称。

   3. 在Windows安全对话框中，输入 user1 及其密码，单击确定。

      用户名格式为 <AD域名>\user1。

8. 按步骤 7 的方法设置 user2文件夹的权限，使只有 Administrator 和 user2 有操作权限。

验证Windows权限控制功能

1. 在这台电脑中，右键单击已挂载的共享目录，单击断开。

2. 刷新后，按照挂载共享目录并设置文件夹权限中的步骤 2 和步骤 3 重新挂载共享目录。

3. 分别以 user1、user2 和 Administrator 身份连接并进入共享目录，验证结果如下：

   • user1 只能看到 user1文件夹。

   • user2 只能看到 user2文件夹。

   • Administrator 能看到 user1和 user2两个文件夹。

至此，已通过云存储网关的 Windows 权限控制功能实现共享目录中基于访问权限的枚举。