От растящите разходи за облачни услуги до отговорността за рисковете, суверенитета на данните и съвместимостта с остарели системи, съществуват много причини, поради които организациите продължават да разчитат на файлови сървъри за евтино и изобилно локално съхранение. Но без значение къде се намират вашите данни, управлението на достъпа е от съществено значение за запазването им в правилните ръце.

Дори навлезли дълбоко в ерата на облака, безброй организации продължават да поддържат локални файлови сървъри заедно с различните си SaaS абонаменти. Тези хибридни конфигурации помагат на бизнеса да съхранява големи обеми от данни, като същевременно запазва пълен контрол върху разходите, риска, времето за съхранение, резервните копия и достъпа.

Въпреки че удобството на облачните услуги все още е голяма атракция, която движи много от протичащите процеси на миграция, опасения като рязкото увеличаване на абонаментните такси, собствеността върху данните и регулаторните изисквания накараха други да изчакат или дори да преосмислят стратегията си за облака.

Така че, въпреки прогнозите за блестящо бъдеще само в облака, изглежда, че скромният файлов сървър ще се задържи като основен стълб в ИТ инфраструктурата през следващите години. Без значение по каква причина вашата организация продължава да разчита на файлови сървъри, важното е да ги администрирате сигурно и ефективно.

С нивото на контрол и отговорност за риска, което локалната инфраструктура ви осигурява, ефективното управление на достъпа е от съществено значение за защитата на вашите данни.

Ето пет добри практики, които всеки администратор на файлови сървъри трябва да знае.

#1: Никога не присвоявайте права директно на потребители

За да предоставите на потребител достъп до директория, винаги трябва да използвате специална група за сигурност с една цел, която следва последователна схема за именуване, като например fs_finance_read.

Въпреки че повечето администратори знаят това, спазването на правилото може да бъде трудно на практика, когато някой мениджър вика, че даден член на екипа се нуждае от достъп ТОЧНО СЕГА.

Проблемът с присвояването на достъп директно на потребителите е, че няма начин да се проследят тези еднократни разрешения. Когато проверявате потребителски обект, можете да видите всяка група, в която той членува. Чрез именуването на групите според правата, които предоставят, това на практика служи и като списък на всичко, до което потребителят има достъп.

Когато обаче потребителят получи привилегии директно за дадена папка, единственото място, където се показва това разрешение, са свойствата на самата папка. Дори в сравнително малка среда с едва няколкостотин директории, това прави еднократните разрешения практически невидими.

Ръководство за добри практики за управление на Active Directory и файлови сървъри

Задължително четиво за системни администратори: Нашето ръководство за добри практики излага основни съвети и трикове за управление на достъпа в среди на Microsoft.

Почистете груповите структури, подобрете видимостта и намалете работното си натоварване – потопете се в темата още днес!

#2: Вгнездявайте групи за права, като използвате модела AGDLP

Както вече установихме, специалните групи за сигурност са най-добрият начин за предоставяне на достъп на потребителите до директориите на файловия сървър. Това обаче не означава, че трябва да добавяте потребители директно към тези групи за сигурност. Администрирането на файловия сървър става още по-ефективно, когато добавите още едно ниво на абстракция.

Първо, създайте глобални групи, които съответстват на различните роли във вашата организация: продажби, поддръжка на клиенти, човешки ресурси и т.н. След това направете тези глобални групи членове на отделните групи за права за всеки ресурс, до който потребителят с тази роля се нуждае от достъп.

Чрез структурирането на групите по този начин вече можете да предоставите на новите потребители целия необходим достъп, просто като ги добавите към глобалната група за роли, съответстваща на тяхната работа.

Този подход е известен като модел AGDLP, съкращение от вгнездената структура от акаунти (accounts), глобални групи (global groups), локални групи в домейна (domain local groups) и накрая разрешения (permissions). Следването на AGDLP или подобни модели ви позволява да внедрите форма на контрол на достъпа, базиран на роли, за ресурсите на файловия сървър и Active Directory, което значително оптимизира управлението на достъпа.

#3: Задавайте по-свободни споделени права, използвайте NTFS за контрол на достъпа

Споделените права (share permissions) контролират достъпа до мрежови ресурси, като например споделени файлове. Въпреки това, тъй като разрешенията за NTFS се прилагат както за мрежов, така че и за локален достъп, като същевременно ви дават по-детайлен контрол върху нивата на правата, повечето администратори предпочитат да използват NTFS разрешения за управление на достъпа.

Когато NTFS правата и споделените права си взаимодействат, в сила влиза по-ограничителното ниво на правата. Това улеснява задаването на споделените права на високо ниво – като „Change“ за потребители и „Full Control“ за администратори – докато разчитате на NTFS разрешенията за ограничаване на достъпа оттам нататък.

За да оптимизирате управлението на файловия сървър, се съсредоточете върху управлението на горните нива на дървото на директориите и оставете правата да се разпространяват надолу. Това работи най-добре с чиста структура на папките, която ви позволява да използвате напълно наследяването на правата.

В идеалния случай не би трябвало да задавате изрични права по-дълбоко от две или три нива надолу в дървото на директориите.

Разбира се, администраторите рядко работят при идеални условия. Годините на трупане на хаос плюс изискванията на ръководството могат да ви принудят да търсите алтернативни решения, за да дадете на потребителите достъп до конкретна проектна папка, скрита дълбоко в споделените ресурси на отдела.