Windows Server 2025 / DFS-Namespace für Abteilungsfreigaben erstellen

DFS-Namespaces des verteilten Dateisystems (Distributed File System, DFS) bündeln Freigaben unter einem logischen Pfad wie \\ad.example.test\Files\Sales. Die Dateien bleiben auf ihrer Zielfreigabe. Ein Namespace repliziert keine Dateidaten und garantiert allein keine Hochverfügbarkeit.

Trennen Sie den logischen Pfad vom tatsächlichen Speicher

DFS Namespaces liefert Pfade und Verweise, über die ein Client die Zielfreigabe findet; DFS-Replikation ist ein eigener Rollendienst. Prüfen Sie zuerst mit beiden normalen Konten den direkten Zugriff und die Berechtigungstrennung der Abteilungsfreigaben Sales und Support auf FS1. Scheitert bereits der direkte Pfad, beheben Sie Freigabe, Namensauflösung über das Domain Name System (DNS) oder Anmeldung, bevor Sie einen Namespace ergänzen. Ein logischer Pfad repariert diese Ursachen nicht.

Bereiten Sie Rolle, Berechtigungen und Namen vor

Install-WindowsFeature FS-DFS-Namespace -IncludeManagementTools
Get-WindowsFeature FS-DFS-Namespace

Installieren Sie den Rollendienst in einer erhöhten PowerShell auf FS1 und prüfen Sie mit der zweiten Abfrage, dass die Funktion installiert ist. Öffnen Sie die DFS-Verwaltung mit dfsmgmt.msc. Für die domänenbasierte Erstellung benötigen Sie passende Domänenrechte und lokale Administrationsrechte auf FS1; die DFS-Delegierungsdokumentation unterscheidet beide Anforderungen. Lokale Administration allein erlaubt nicht jede Namespace-Erstellung in der Domäne. Kontrollieren Sie, dass der unveränderte Name Files und seine Stammfreigabe nicht verwendet werden. Prüfen Sie eine vorhandene Konfiguration, statt sie zu überschreiben.

Wählen Sie den domänenbasierten Typ aus der Anleitung zur Namespace-Erstellung. Die Anforderungen an den Namespace-Modus nennen für den Windows Server 2008-Modus mindestens Gesamtstrukturfunktionsebene Windows Server 2003 und Domänenfunktionsebene Windows Server 2008. Prüfen Sie die tatsächlichen Ebenen Ihres Labors. Der Modusname beschreibt das Namespace-Verhalten und erfordert weder die Installation von Windows Server 2008 noch bezeichnet er das Betriebssystem auf FS1.

Erstellen Sie den domänenbasierten Namespace

1. Klicken Sie in der DFS-Verwaltung mit der rechten Maustaste auf Namespaces und wählen Sie Neuer Namespace.
2. Wählen Sie FS1 als Namespace-Server und fahren Sie fort.
3. Tragen Sie den unveränderten Namen Files ein. Prüfen Sie den anzulegenden Stammordner und die Freigabe, beispielsweise einen neuen Ordner unter C:\DFSRoots. Verwenden Sie keinen Datenordner oder eine bestehende Freigabe ohne Prüfung ihres Zwecks.
4. Erlauben Sie in der Stammfreigabe den berechtigten Laborgruppen, etwa GG_Sales und GG_Support, Lesen und erhalten Sie benötigte Verwaltungsrechte. Gewähren Sie normalen Benutzern am Stamm weder Dateierstellung noch Berechtigungsverwaltung. Prüfen Sie nach dem Erstellen auch die Rechte des Dateisystems NTFS (New Technology File System).
5. Wählen Sie den domänenbasierten Namespace und den anhand der Anforderungen geprüften Modus. Kontrollieren Sie den endgültigen Pfad \\ad.example.test\Files statt eines eigenständigen FS1-Stamms und erstellen Sie den Namespace. Warten Sie die erfolgreiche Bestätigung ab, bevor Sie Ordner hinzufügen.

Prüfen Sie nach dem Erstellen auch den angezeigten lokalen Stammordner unter Eigenschaften → Sicherheit → Erweitert. Wandeln Sie nur an diesem neuen Stamm geerbte Rechte in explizite Einträge um, wenn Sie unnötige Erstellungsrechte entfernen müssen. Erhalten Sie die benötigten Verwaltungsrechte für SYSTEM und Administratoren und erlauben Sie berechtigten Gruppen Lesen, Ausführen und Auflisten im passenden Geltungsbereich. Entfernen Sie unnötige Schreibrechte für Benutzer und den Ersteller-Besitzer-Eintrag (CREATOR OWNER), falls vorhanden. Lesen am Stamm dient dem Abrufen von Verweisen; die Datenrechte werden an Sales oder Support geprüft. Sichtbarkeit von Files berechtigt nicht zu beiden Abteilungen. Speichern Sie keine Dokumente im Stamm und ändern Sie deshalb nicht die Zugriffssteuerungslisten (Access Control Lists, ACLs) der Datenfreigaben.

Verbinden Sie logische Ordner mit vorhandenen Zielen

1. Klicken Sie mit der rechten Maustaste auf den neuen Namespace und wählen Sie Neuer Ordner. Geben Sie den unveränderten Namen Sales ein.
2. Wählen Sie Hinzufügen und tragen Sie die bestehende Zielfreigabe \\fs1.ad.example.test\Sales ein. Bestätigen Sie beide Dialoge.
3. Wiederholen Sie dies für den logischen Ordner Support mit dem Ziel \\fs1.ad.example.test\Support. Übersetzen Sie die Labornamen nicht in Vertrieb oder andere Bezeichnungen: Sie müssen zur Tabelle passen.
4. Falls der Assistent eine Replikationsgruppe anbietet, erstellen Sie diese in dieser Übung nicht. Replikation und Datenkonsistenz zwischen Zielen benötigen eine eigene Konfiguration.

Verwenden Sie einen funktionierenden Freigabepfad nach Universal Naming Convention (UNC), keinen lokalen Pfad D:\ auf dem Server. Die Anleitung zu Ordnerzielen beschreibt die Zuordnung. In dieser Übung erhält jeder logische Ordner genau ein vorhandenes Ziel. Zwei unterschiedliche Ziele werden weder synchronisiert noch automatisch zu gleichwertigen Kopien, nur weil sie demselben logischen Ordner zugeordnet sind.

Get-DfsnRoot -Path '\\ad.example.test\Files'
Get-DfsnFolder -Path '\\ad.example.test\Files\*'
Get-DfsnFolderTarget -Path '\\ad.example.test\Files\Sales'

Führen Sie die DFS-Abfragen auf FS1 aus, wo die Verwaltungswerkzeuge das DFSN-Modul bereitstellen. Die Ergebnisse müssen den Domänenstamm, Sales und Support sowie das genaue Sales-Ziel aus der Tabelle zeigen. Eine richtige Konfiguration allein beweist keine erfolgreichen Dateioperationen vom Client; führen Sie danach die Tests mit normalen Benutzern aus.

Prüfen Sie normalen Benutzerzugriff und erhalten Sie die Daten

Melden Sie sich auf CLIENT1 neu als sales.user1 an. Prüfen Sie whoami, Gruppen und vorhandene Verbindungen über Server Message Block (SMB), damit keine Administratoridentität wiederverwendet wird. Öffnen Sie den DFS-Pfad zu Sales, erstellen Sie eine kleine Datei mit neuem Namen und erkennbarem Inhalt und lesen Sie dieselbe Datei auch über den direkten Sales-Pfad. Versuchen Sie den vollständigen DFS-Pfad zu Support: Der Datenzugriff muss verweigert werden. Wiederholen Sie den Test umgekehrt als support.user1. Ein sichtbarer Ordnername beweist keine Zugriffsberechtigung für die Daten.

Funktioniert der direkte Zugriff, aber nicht DFS, kontrollieren Sie in der DFS-Verwaltung Stamm, logischen Ordner und exaktes Ziel sowie die Domänenauflösung und zwischengespeicherte Clientverweise. Unterscheiden Sie diese Verweise von SMB-Anmeldeinformationen: Eine Benutzerabmeldung beweist nicht, dass der gesamte DFS-Verweiscache geleert wurde. Beheben Sie die festgestellte Ursache und wiederholen Sie denselben Test. Löschen Sie keine Namespace-Daten in Active Directory, um ein Clientcacheproblem zu lösen.

Die Verfügbarkeit der Namespace-Server und die Verfügbarkeit der Dateidaten müssen getrennt geplant werden. Dieser Aufbau mit FS1 ergänzt keinen zweiten Dateiserver und repliziert Sales oder Support nicht. Wenn Sie die Übung entfernen möchten, prüfen Sie in der DFS-Verwaltung nur die logischen Laborordner und ihre Ziele und anschließend den Labor-Namespace. Bewahren Sie die ursprünglichen Freigaben und Daten von Sales und Support auf. Das Entfernen einer logischen Zuordnung ist keine Aufforderung, die physischen Datenordner zu löschen.