विंडोज सर्वर पर एक्सेस-बेस्ड एन्यूमरेशन (ABE) कैसे सक्षम करें?

विंडोज में शेयर्ड फोल्डर तक पहुंच कैसे काम करती है?

विंडोज में नेटवर्क शेयर्ड फोल्डर तकनीक की कमियों में से एक यह तथ्य है कि डिफ़ॉल्ट रूप से सभी उपयोगकर्ता कम से कम इसकी संरचना और ऐसी फोल्डर में सभी फाइलों और डायरेक्टरी की सूची देख सकते हैं, जिनमें वे भी शामिल हैं जिन तक पहुंचने के लिए उनके पास NTFS परमिशन नहीं हैं (ऐसी फाइल या फोल्डर खोलने का प्रयास करते समय, उपयोगकर्ता को त्रुटि "एक्सेस डिनाइड" प्राप्त होती है)। उन फाइलों और फोल्डरों को उपयोगकर्ताओं से क्यों न छिपाया जाए जिनके पास उन्हें एक्सेस करने की परमिशन नहीं है? एक्सेस-बेस्ड एन्यूमरेशन (ABE) इसमें मदद कर सकता है। शेयर्ड फोल्डर पर ABE को सक्षम करके, आप यह सुनिश्चित कर सकते हैं कि अलग-अलग उपयोगकर्ता उसी नेटवर्क शेयर में फोल्डर और फाइलों की अलग-अलग सूची देखें जो उपयोगकर्ता की व्यक्तिगत एक्सेस परमिशन (ACL) पर आधारित हो।

ABE कैसे काम करता है?

क्लाइंट और सर्वर के बीच SMB पर शेयर्ड फोल्डर एक्सेस करते समय इंटरैक्शन कैसे होता है?

• क्लाइंट नेटवर्क शेयर्ड फोल्डर में एक डायरेक्टरी एक्सेस करने के लिए सर्वर से अनुरोध करता है;
• सर्वर पर LanmanServer सर्विस उपयोगकर्ता की इस फोल्डर तक पहुंचने की परमिशन की जांच करती है;
• यदि एक्सेस अनुमति है (NTFS परमिशन: कंटेंट सूची, पढ़ना या लिखना), तो उपयोगकर्ता डायरेक्टरी कंटेंट देखता है;
• फिर उपयोगकर्ता उसी तरह फाइल या सबफोल्डर तक पहुंच का अनुरोध करता है (आप देख सकते हैं कि नेटवर्क फोल्डर में एक विशिष्ट फाइल किसने खोली);
• यदि एक्सेस अस्वीकार कर दिया जाता है, तो उपयोगकर्ता को तदनुसार सूचित किया जाता है।

इस योजना के अनुसार, यह स्पष्ट हो जाता है कि सर्वर पहले उपयोगकर्ता को फोल्डर की पूरी सामग्री दिखाता है, और NTFS परमिशन की जांच केवल तब की जाती है जब उपयोगकर्ता किसी विशिष्ट फाइल या फोल्डर को खोलने का प्रयास करता है।

एक्सेस-बेस्ड एन्यूमरेशन (ABE) उपयोगकर्ता को फोल्डर कंटेंट की सूची प्राप्त करने से पहले फाइल सिस्टम ऑब्जेक्ट पर एक्सेस परमिशन की जांच करने की अनुमति देता है। इसलिए, अंतिम सूची में केवल वही ऑब्जेक्ट शामिल होते हैं जिन तक उपयोगकर्ता की NTFS परमिशन है (कम से कम रीड-ओनली परमिशन), और सभी अप्राप्य संसाधन बस प्रदर्शित नहीं होते (छिपे हुए)।

इसका मतलब है कि एक विभाग (जैसे गोदाम) का उपयोगकर्ता शेयर्ड फोल्डर (\\filesrv1\docs) में फाइलों और फोल्डरों की एक सूची देखेगा। जैसा कि आप देख सकते हैं, इस उपयोगकर्ता के लिए केवल दो फोल्डर प्रदर्शित होते हैं: Public और Warehouse।

और दूसरे विभाग के उपयोगकर्ता के लिए, जैसे IT विभाग (जो दूसरे विंडोज सुरक्षा समूह में शामिल है), सबफोल्डर की एक अलग सूची दिखाई जाती है। Public और Warehouse डायरेक्टरी के अलावा, यह उपयोगकर्ता उसी नेटवर्क फोल्डर में 5 और डायरेक्टरी देखता है।

विंडोज फाइल सर्वर पर ABE का उपयोग करने का मुख्य नुकसान सर्वर पर अतिरिक्त लोड है। यह उच्च लोड वाले फाइल सर्वर पर विशेष रूप से प्रमुख है। देखी गई डायरेक्टरी में जितने अधिक ऑब्जेक्ट होंगे, और जितने अधिक उपयोगकर्ता इस पर फाइलें खोलेंगे, देरी उतनी ही लंबी होगी। माइक्रोसॉफ्ट के अनुसार, यदि प्रदर्शित फोल्डर में 15,000 ऑब्जेक्ट (फाइलें और डायरेक्टरी) हैं, तो फोल्डर 1-3 सेकंड धीमी गति से खुलता है। इसलिए जब शेयर्ड फोल्डर स्ट्रक्चर डिजाइन करते समय एक स्पष्ट और पदानुक्रमित सबफोल्डर स्ट्रक्चर बनाने पर बहुत ध्यान देने की सिफारिश की जाती है ताकि फोल्डर खोलते समय देरी कम स्पष्ट हो।

नोट: आपको समझना चाहिए कि एक्सेस-बेस्ड एन्यूमरेशन फाइल सर्वर पर नेटवर्क शेयर्ड फोल्डर की सूची को नहीं छिपाता, यह केवल उनकी सामग्री को छिपाता है। यदि आपको किसी उपयोगकर्ता से शेयर्ड फोल्डर छिपाने की आवश्यकता है, तो आपको शेयर नाम के अंत में $ सिंबल जोड़ना होगा।

आप कमांड प्रॉम्प्ट (abecmd.exe यूटिलिटी), GUI, पावरशेल या एक विशेष API से ABE को मैनेज कर सकते हैं।

एक्सेस-बेस्ड एन्यूमरेशन प्रतिबंध

विंडोज पर एक्सेस-बेस्ड एन्यूमरेशन निम्नलिखित मामलों में काम नहीं करता:

• यदि आप फाइल सर्वर के रूप में सर्विस पैक 1 के बिना विंडोज XP या विंडोज सर्वर 2003 का उपयोग कर रहे हैं;
• यदि आप डायरेक्टरी को स्थानीय रूप से देख रहे हैं (सीधे सर्वर से);
• लोकल फाइल सर्वर एडमिनिस्ट्रेटर ग्रुप के सदस्यों के लिए (वे हमेशा फाइलों की पूरी सूची देखते हैं)।

विंडोज सर्वर 2008/2008 R2 पर ABE का उपयोग

विंडोज सर्वर 2008/R2 में एक्सेस बेस्ड एन्यूमरेशन कार्यक्षमता का उपयोग करने के लिए कोई अतिरिक्त घटक इंस्टॉल करने की आवश्यकता नहीं है, क्योंकि ABE मैनेजमेंट फीचर पहले से ही विंडोज GUI में बिल्ट-इन है। विंडोज सर्वर 2008/2008 R2 में किसी विशेष फोल्डर के लिए एक्सेस-बेस्ड एन्यूमरेशन सक्षम करने के लिए, MMC मैनेजमेंट कंसोल शेयर एंड स्टोरेज मैनेजमेंट खोलें (स्टार्ट -> प्रोग्राम -> एडमिनिस्ट्रेटिव टूल्स -> शेयर एंड स्टोरेज मैनेजमेंट)। आवश्यक शेयर की प्रॉपर्टीज पर जाएं। फिर एडवांस्ड सेटिंग्स पर जाएं और एक्सेस-बेस्ड एन्यूमरेशन सक्षम करें चेक करें।

विंडोज सर्वर 2012 R2/2016 पर एक्सेस-बेस्ड एन्यूमरेशन कॉन्फ़िगर करना

विंडोज सर्वर 2012 R2 / 2016 में ABE कॉन्फ़िगरेशन भी बहुत सरल है। विंडोज सर्वर 2012 में ABE सक्षम करने के लिए, आपको सबसे पहले फाइल एंड स्टोरेज सर्विसेज भूमिका इंस्टॉल करनी होगी, और फिर सर्वर मैनेजर में शेयर प्रॉपर्टीज पर जाना होगा।

सेटिंग्स सेक्शन में एक्सेस-बेस्ड एन्यूमरेशन सक्षम करें विकल्प चेक करें।

विंडोज सर्वर 2003 पर एक्सेस-बेस्ड एन्यूमरेशन लागू करना

विंडोज सर्वर 2003 (अब समर्थित नहीं) में, ABE सर्विस पैक 1 से समर्थित हो गया। विंडोज सर्वर 2003 SP1 (या बाद) में एक्सेस-बेस्ड एन्यूमरेशन सक्षम करने के लिए, आपको इस लिंक https://www.microsoft.com/en-us/download/details.aspx?id=17510 से एक पैकेज डाउनलोड और इंस्टॉल करना होगा। इंस्टॉलेशन के दौरान आपको यह निर्दिष्ट करना होगा कि ABE आपके सर्वर पर सभी शेयर्ड फोल्डर के लिए सक्षम होगा या आप इसे मैन्युअली कॉन्फ़िगर करेंगे। यदि आप दूसरा विकल्प चुनते हैं, तो इंस्टॉलेशन के बाद नेटवर्क शेयर प्रॉपर्टीज में एक नया टैब, एक्सेस-बेस्ड एन्यूमरेशन दिखाई देगा।

किसी विशेष फोल्डर के लिए ABE सक्रिय करने के लिए, इसकी प्रॉपर्टीज में इस शेयर्ड फोल्डर पर एक्सेस-बेस्ड एन्यूमरेशन सक्षम करें विकल्प चेक करें।

यह उल्लेख करना महत्वपूर्ण है कि विंडोज 2003 DFS-आधारित एक्सेस बेस्ड एन्यूमरेशन का समर्थन करता है, लेकिन इसे केवल cacls का उपयोग करके कमांड प्रॉम्प्ट से कॉन्फ़िगर किया जा सकता है।

कमांड प्रॉम्प्ट से ABE मैनेज करना

आप Abecmd.exe यूटिलिटी का उपयोग करके कमांड प्रॉम्प्ट से एक्सेस-बेस्ड एन्यूमरेशन सेटिंग्स को मैनेज कर सकते हैं। यह टूल विंडोज सर्वर 2003 SP1 के लिए एक्सेस-बेस्ड एन्यूमरेशन पैकेज का हिस्सा है (ऊपर लिंक देखें)।

Abecmd.exe आपको एक साथ सभी डायरेक्टरी के लिए ABE सक्रिय करने या केवल कुछ के लिए अनुमति देता है। अगली कमांड सभी शेयर के लिए एक्सेस-बेस्ड एन्यूमरेशन सक्षम करती है:

यह एक निश्चित फोल्डर के लिए है (उदाहरण के लिए, Docs नाम का एक नेटवर्क शेयर्ड फोल्डर):

पावरशेल का उपयोग करके एक्सेस बेस्ड एन्यूमरेशन मैनेज करना

आप SMBShare पावरशेल मॉड्यूल (विंडोज 10/8.1 और विंडोज सर्वर 2016/2012 R2 में डिफ़ॉल्ट रूप से इंस्टॉल) का उपयोग करके विशिष्ट फोल्डर के लिए एक्सेस बेस्ड एन्यूमरेशन सेटिंग्स को मैनेज कर सकते हैं। आइए एक विशिष्ट शेयर्ड फोल्डर की प्रॉपर्टीज सूचीबद्ध करें:

FolderEnumerationMode एट्रिब्यूट के मान पर ध्यान दें। हमारे मामले में, इसका मान Unrestricted है। इसका मतलब है कि इस फोल्डर के लिए ABE अक्षम है।

आप सर्वर के सभी शेयर्ड फोल्डर के लिए ABE की स्थिति जांच सकते हैं:

किसी विशेष फोल्डर के लिए ABE सक्षम करने के लिए:

आप सभी पब्लिश्ड नेटवर्क फोल्डर (एडमिनिस्ट्रेटिव शेयर ADMIN$, C$, E$, IPC$,... सहित) के लिए एक्सेस बेस्ड एन्यूमरेशन सक्षम कर सकते हैं यह कमांड चलाकर:

ABE अक्षम करने के लिए कमांड का उपयोग करें:

विंडोज 10/8.1/7 में एक्सेस-बेस्ड एन्यूमरेशन

कई उपयोगकर्ता, विशेष रूप से होम या SOHO नेटवर्क में, एक्सेस-बेस्ड एन्यूमरेशन फीचर का उपयोग करना चाहेंगे। समस्या यह है कि माइक्रोसॉफ्ट क्लाइंट OS में एक्सेस-बेस्ड एन्यूमरेशन को मैनेज करने के लिए न तो ग्राफिकल और न ही कमांड इंटरफेस है।

विंडोज 10 (सर्वर 2016) और विंडोज 8.1 (सर्वर 2012R2) में, आप एक्सेस-बेस्ड एन्यूमरेशन को मैनेज करने के लिए पावरशेल का उपयोग कर सकते हैं (ऊपर सेक्शन देखें)। पुराने विंडोज संस्करणों में, आपको पावरशेल का नवीनतम संस्करण (>= 5.0) इंस्टॉल करना होगा या विंडोज सर्वर 2003 पैकेज से abecmd.exe यूटिलिटी का उपयोग करना होगा, यह क्लाइंट OS पर ठीक काम करता है। चूंकि विंडोज सर्वर 2003 एक्सेस-बेस्ड एन्यूमरेशन पैकेज विंडोज 10, 8.1 या 7 पर इंस्टॉल नहीं है, आपको इसे पहले विंडोज सर्वर 2003 पर इंस्टॉल करना होगा, और फिर इसे C:\windows\system32 डायरेक्टरी से क्लाइंट पर उसी फोल्डर में कॉपी करना होगा। उसके बाद, आप ऊपर वर्णित कमांड के अनुसार ABE सक्षम कर सकते हैं।

नोट: कॉर्पोरेट वातावरण में, ABE DFS फोल्डर के साथ पूरी तरह से मेल खाता है जो उपयोगकर्ता से फोल्डर छिपाकर पब्लिक फोल्डर ट्री की अधिक सुविधाजनक संरचना प्रदान करता है। आप DFS मैनेजमेंट या dfsutil.exe का उपयोग करके DFS में ABE सक्षम कर सकते हैं:
dfsutil property abde enable \\namespace_root

इसके अलावा, आप GPO का उपयोग करके AD डोमेन में कंप्यूटर पर ABE सक्षम कर सकते हैं। यह GPP का उपयोग करके सेक्शन में किया जा सकता है: कंप्यूटर कॉन्फ़िगरेशन -> प्रेफरेंस -> विंडोज सेटिंग्स -> नेटवर्क शेयर)।

नेटवर्क फोल्डर की प्रॉपर्टीज में एक्सेस-बेस्ड एन्यूमरेशन विकल्प होता है, यदि आप मान को इनेबल में बदलते हैं, तो इस GPO का उपयोग करके बनाए गए सभी शेयर्ड फोल्डर के लिए ABE मोड सक्षम हो जाएगा।