Windows Server 2025 / Configurer des quotas et le filtrage de fichiers avec FSRM

Le Gestionnaire de ressources du serveur de fichiers (File Server Resource Manager, FSRM) permet de limiter la taille d'un dossier et de filtrer les fichiers selon leur nom. Testez chaque fonction dans un dossier NTFS neuf et distinct pour reconnaître un refus d'accès, un dépassement de quota et le blocage d'un type de fichier.

Vérifiez NTFS et préparez deux dossiers de test

Créez les dossiers vides D:\QuotaLab et D:\ScreenLab sur FS1 pour ne pas limiter par erreur les données des services. La documentation Microsoft sur les problèmes FSRM précise la limite de prise en charge de ReFS ; vérifiez donc d'abord le système de fichiers.

Get-Volume -DriveLetter D | Select-Object DriveLetter,FileSystem
Install-WindowsFeature FS-Resource-Manager -IncludeManagementTools
Get-Service SrmSvc

Exécutez l'installation dans Windows PowerShell avec des droits administrateur, puis ouvrez fsrm.msc. L'installation réussie de la fonctionnalité ne donne aucun droit d'écriture sur les dossiers. Pour comparer les deux règles en local, utilisez un compte autorisé à écrire dans ces dossiers.

Appliquez un quota contraignant à un seul dossier

1. Dans Gestion des quotas → Modèles de quotas, créez le modèle Lab-50MB.
2. Définissez une limite stricte de 50 Mo : un quota strict bloque les écritures qui dépassent la limite, tandis qu'un quota souple se contente de surveiller.
3. Appliquez ce modèle à D:\QuotaLab seulement, sans créer de quotas automatiques pour ses sous-dossiers.
4. Vérifiez le chemin exact du quota, sa limite et l'espace déjà utilisé.

Un quota de dossier FSRM diffère d'un quota de disque NTFS par utilisateur. La documentation Microsoft sur la création de quotas distingue l'application à un dossier et l'application automatique aux sous-dossiers. Avant de limiter un dossier en production, évaluez son occupation, sa croissance, la conservation des fichiers et les notifications nécessaires.

Comparez les écritures en dessous et au-dessus de la limite

Vérifiez l'espace libre et assurez-vous que les fichiers ci-dessous n'existent pas déjà. Ces commandes tentent de créer deux fichiers de 30 Mio dans le dossier de test :

$sampleBytes = New-Object byte[] (30MB)
[System.IO.File]::WriteAllBytes('D:\QuotaLab\first.bin',$sampleBytes)
[System.IO.File]::WriteAllBytes('D:\QuotaLab\second.bin',$sampleBytes)

Avec un quota strict de 50 Mo, la création du premier fichier doit réussir et la seconde doit échouer parce qu'elle dépasse la limite. Comparez l'erreur à l'utilisation affichée par FSRM. Si les deux écritures échouent, vérifiez le chemin, les droits et l'espace libre du volume. Regardez aussi si l'échec a laissé un fichier partiel.

Un quota souple permet d'écrire au-delà de la même limite : utilisez-le pour comparer les résultats, puis rétablissez le réglage initial. Les alertes demandent une configuration distincte ; la création du quota ne met pas automatiquement en place l'envoi d'e-mails.

Filtrez un motif de nom de fichier sans risque

1. Créez le groupe de fichiers LabBlocked avec le motif *.labblocked. Aucun logiciel exécutable ni programme malveillant n'est nécessaire.
2. Créez une règle de filtrage de fichiers pour D:\ScreenLab.
3. Choisissez le filtrage actif et le groupe LabBlocked ; ajoutez une notification dans le journal d'événements si elle est utile au test.
4. Vérifiez que normal.txt peut être enregistré, tandis que sample.labblocked est bloqué.
5. Passez temporairement au filtrage passif, qui laisse enregistrer le fichier, et ne cherchez que les notifications effectivement configurées ; rétablissez ensuite le réglage initial.

La documentation Microsoft sur le filtrage de fichiers explique les modes actif et passif. Ce filtrage repose sur le nom du fichier et ne remplace pas une protection contre les logiciels malveillants qui analyse le contenu. Tenez aussi compte des extensions renommées et des applications qui utilisent des fichiers temporaires.

Diagnostiquez l'échec et retirez seulement les règles de test

Un échec d'enregistrement n'est pas forcément un problème de droits. Examinez la configuration FSRM appliquée au chemin, l'utilisation du quota, les permissions NTFS, l'espace libre et les événements. Un test local sur le serveur ne donne pas nécessairement le même résultat qu'un accès SMB avec un compte ordinaire.

Une fois les essais terminés, supprimez uniquement le quota de QuotaLab et la règle de filtrage de ScreenLab, puis vérifiez que les fichiers ordinaires peuvent de nouveau être enregistrés. Effacez seulement les fichiers du test. Avant de supprimer un modèle ou un groupe de fichiers, cherchez les autres règles qui y font référence afin de ne pas modifier des dossiers en production.