Установка роли File Server в Windows Server 2008 R2 и использование экранирования файлов (File Screening) для ограничения сохраняемого контента на файловых серверах.

Экранирование файлов (File Screening) — технология, которая позволяет администраторам контролировать сохраняемое содержимое в домашних папках пользователей и других общих сетевых папках на файловых серверах в зависимости от типов файлов.

Эта технология в Windows Server появилась начиная c версии Windows Server 2003 R2, в Windows Server 2008 R2 она также сохранилась.

Теперь рассмотрим ее подробнее…

Для начала несколько скриншотов с комментариями о том, как добавить роль File Server в Windows Server 2008 R2:

1. Запускаем Server Manager и нажимаем Добавить Роль (Add Role):

2. Далее (Next) :

3. Выбираем из списка ролей File Server :

4. На следующем шаге потребуется выбрать компоненты, которые мы хотим установить для данной роли: Тут необходимо отметить, что для того чтобы мы могли воспользоваться технологией File Screening нам необходимо обязательно выбрать компонент File Server Resource Manager:

5. Настройку мониторинга используемого пространства мы пропускаем в рамках этой статьи:

6. Проверяем и подтверждаем наши действия :

7. Процесс установки завершен :

8. Теперь можно посмотреть, что у нас получилось:

На данном скриншоте как раз видим, что в состав компонента File Server Resource Manager входит File Screening.

Стоит немного объяснить, что нам позволяет File Screening.

Администраторы могут использовать экранирование файлов, чтобы легко препятствовать пользователям в сохранении «нежелательных» файлов в их сетевых папках, а также, чтобы удерживать работников от хранения «нежелательных» файлов на серверах компании. Под «нежелательными» файлами можно подразумевать любой контент, который считается запрещенным согласно корпоративной политике безопасности.

Давайте рассмотрим как это все работает на простом примере.

На первом шаге необходимо определиться, какие файлы не разрешены для размещения на файловых серверах: для этого необходимо создать группу файлов. Группа файлов определяет набор типов файлов которые могут или не могут быть заблокированы. Например, необходимо заблокировать хранение видеофайлов на файловом сервере. Для этого мы создаем новую группу файлов, которая будет содержать файлы, у которых расширения *.mpg, *.avi и т.п. Хочется также сказать, что при установке компонента File Server Resource Manager создаются по умолчанию много различных групп, которые можно увидеть на следующем скриншоте:

Конечно, их можно редактировать, 🙂 . Стоит это делать или нет – решать Вам самим.

Для создания новой группы файлов выбираем Create File Group:

В открывшемся диалоговом окне вводим название группы, добавляем шаблоны типов файлов, которые необходимо блокировать. Можно также выбрать типы файлов, которых блокировать не будем.

После создания группы ее сразу можно увидеть, когда выбрана ветвь File Groups:

Теперь можно создавать file screen для созданной нами группы Block disk image files.

Для этого открываем ветку File Screens и выбираем Create New File Screen:

Открывается диалоговое окно создания экрана файлов:

В нашем простом варианте мы будем ограничивать контент в общей сетевой папке Shared Folder на данном файловом сервере, для чего указываем к ней путь.

Далее необходимо откуда брать настройки экрана:

Вариант 1: из соответствующего шаблона, которые также как и группы создаются по умолчанию при установке компонента File Server Resource Manager.

Вариант 2: Создать свои собственные настройки экрана, что приемлемо в нашем случае, так как шаблона еще не создано – выбираем Define custom file screen properties:

В первой вкладке Settings выбираем тип экрана. Экраны бывают двух типов – пассивные и активные. Как можно понять по названию и действия их соответствующие: активные экраны препятствуют сохранению файлов зафильтрованного типа, логируют это событие и уведомляют пользователя и(или) администратора, а пассивные только уведомляют пользователя и(или) администратора, но не препятствуют сохранению файлов .

В нашем случае мы выбираем активный экран, а также группу файлов, которую мы создали Block disk image files.

Также вкратце рассмотрим некоторые параметры, которые можно выбрать при настройке экрана.

1. На вкладке E-mail message есть возможность уведомления по e-mail администратора и пользователя о несанкционированных действиях:

2. Возможность логирования события в системном журнале указывается на вкладке Event Log:

После выбора всех необходимых настроек и параметров экрана нажимаем долгожданный OK, но не тут-то было:

Нам предлагается сохранить наш экран в виде шаблона (Save the custom properties as tempate) или же просто без создания шаблона. Тут уж Вам выбирать как необходимо.

После создания экрана его можно увидеть в списке экранов ветки File Screens:

Ну и теперь протестируем наш файловый экран: для этого попробуем скопировать любой файл образа на файловый сервер в сетевую папку Shared Folder. Результат будет следующий:

Могу Вас поздравить – мы создали первый файловый экран, который реально работает. Все это очень просто. Возможно, далее мы рассмотрим более сложные применения файловых экранов. А пока это все. Удачи.