Windows Server 2025 / Creare un namespace DFS per le condivisioni dei reparti

I namespace del file system distribuito (Distributed File System, DFS) raccolgono più condivisioni sotto un percorso logico, per esempio \\ad.example.test\Files\Sales. I file restano nelle condivisioni di destinazione: creare un namespace non replica i dati e non garantisce da solo un'elevata disponibilità.

Distinguere il percorso logico dall’archiviazione reale

DFS Namespaces fornisce percorsi e riferimenti che indicano al client a quale condivisione collegarsi; DFS Replication è un servizio ruolo distinto. Prima di iniziare, verifichi con entrambi gli utenti ordinari l'accesso diretto e la separazione delle autorizzazioni delle condivisioni dipartimentali Sales e Support di FS1. Se un percorso diretto non funziona, risolva prima la condivisione, la risoluzione del sistema dei nomi di dominio (DNS) o l'autenticazione. Un namespace non corregge questi problemi.

Preparare il ruolo, i diritti e il nome

Install-WindowsFeature FS-DFS-Namespace -IncludeManagementTools
Get-WindowsFeature FS-DFS-Namespace

Installi il ruolo da PowerShell con privilegi elevati su FS1 e verifichi che la seconda query mostri la funzionalità installata. Apra Gestione DFS con dfsmgmt.msc. Per creare questo namespace di dominio servono i diritti di dominio appropriati e l'amministrazione locale di FS1: Microsoft distingue i due requisiti nella guida alla delega di DFS. I soli privilegi locali non autorizzano qualsiasi creazione nel dominio. Controlli che il nome letterale Files e la relativa condivisione radice non siano già utilizzati; se esistono, esamini la configurazione prima di modificarla.

Segua l'opzione basata su dominio della guida alla creazione dei namespace. Secondo i requisiti della modalità del namespace, Windows Server 2008 mode richiede almeno il livello funzionale della foresta Windows Server 2003 e quello del dominio Windows Server 2008. Verifichi i livelli effettivi del laboratorio. Il nome indica il comportamento del namespace: non richiede di installare Windows Server 2008 e non descrive il sistema operativo di FS1.

Creare il namespace basato su dominio

1. In Gestione DFS faccia clic con il pulsante destro su Namespace e scelga Nuovo namespace.
2. Selezioni FS1 come server del namespace e prosegua.
3. Inserisca il nome letterale Files. Controlli la cartella radice e la condivisione che saranno create, per esempio una nuova cartella sotto C:\DFSRoots. Non riutilizzi una cartella contenente dati o una condivisione esistente senza verificarne lo scopo.
4. Nelle impostazioni della condivisione radice consenta la lettura ai gruppi autorizzati del laboratorio, per esempio GG_Sales e GG_Support, e conservi i diritti di amministrazione necessari. Non conceda agli utenti ordinari creazione di file o gestione delle autorizzazioni nella radice; dopo la creazione controlli anche i diritti del file system NTFS (New Technology File System).
5. Scelga il namespace basato su dominio e la modalità compatibile con i requisiti verificati. Controlli che il percorso finale sia \\ad.example.test\Files, non una radice autonoma di FS1, quindi crei il namespace. Attenda la conferma della procedura guidata prima di aggiungere cartelle.

Dopo la creazione, controlli anche la cartella radice locale indicata dalla procedura guidata: Proprietà → Sicurezza → Avanzate. Solo su questa nuova radice, converta le autorizzazioni ereditate in voci esplicite se occorre rimuovere i diritti ereditati di creazione. Conservi SYSTEM e gli amministratori con i diritti di gestione necessari; assegni ai gruppi autorizzati lettura, esecuzione ed elenco con l'ambito appropriato. Rimuova i diritti di scrittura non necessari di Users e dell'autore proprietario (CREATOR OWNER), se presenti. La lettura della radice consente di ottenere i riferimenti; le autorizzazioni sui dati sono valutate su Sales o Support. Vedere Files non autorizza entrambi i reparti. Non collochi documenti nella radice e non modifichi per questo le liste di controllo di accesso (ACL) delle condivisioni di destinazione.

Collegare le cartelle logiche alle destinazioni esistenti

1. Faccia clic con il pulsante destro sul nuovo namespace e scelga Nuova cartella. Inserisca il nome letterale Sales, senza tradurlo.
2. Scelga Aggiungi e indichi come destinazione la condivisione esistente \\fs1.ad.example.test\Sales. Confermi entrambe le finestre di dialogo.
3. Ripeta con la cartella logica Support e la destinazione \\fs1.ad.example.test\Support. Non traduca i nomi del laboratorio: devono coincidere con i percorsi della tabella.
4. Se la procedura propone un gruppo di replica, non lo crei in questa esercitazione. La configurazione della replica e la coerenza dei dati tra destinazioni richiedono una procedura separata.

Usi il percorso di una condivisione secondo la convenzione di denominazione universale (Universal Naming Convention, UNC), non un percorso locale D:\ del server. La guida all'aggiunta delle destinazioni delle cartelle descrive l'associazione. In questa esercitazione ogni cartella logica ha una sola destinazione esistente. Aggiungere due destinazioni diverse non ne sincronizza i contenuti e non le rende automaticamente copie equivalenti.

Get-DfsnRoot -Path '\\ad.example.test\Files'
Get-DfsnFolder -Path '\\ad.example.test\Files\*'
Get-DfsnFolderTarget -Path '\\ad.example.test\Files\Sales'

Esegua le query DFS su FS1, dove il ruolo include il modulo DFSN. Devono mostrare la radice del dominio, le cartelle Sales e Support e la destinazione di Sales esattamente come nella tabella. Una configurazione corretta non dimostra da sola che il client possa aprire o modificare i dati: esegua poi le prove con gli utenti ordinari.

Verificare l’accesso come utenti ordinari e conservare i dati

Su CLIENT1 avvii una nuova sessione come sales.user1 e controlli whoami, i gruppi e le connessioni SMB (Server Message Block) esistenti per evitare di riutilizzare un'identità amministrativa. Apra il percorso DFS di Sales, crei un piccolo file con un nome nuovo e contenuto riconoscibile e lo legga anche dal percorso diretto di Sales: deve essere lo stesso file. Provi il percorso DFS completo di Support e confermi che l'accesso venga negato. Ripeta la prova inversa con support.user1. La presenza di una cartella nell'elenco non dimostra che i suoi dati siano accessibili.

Se l'accesso diretto funziona ma quello logico no, controlli in Gestione DFS la radice, la cartella logica e la destinazione esatta, poi la risoluzione del dominio sul client e i riferimenti memorizzati nella cache. Distingua questi riferimenti dalle credenziali SMB: terminare una sessione utente non dimostra che tutta la cache DFS sia stata svuotata. Corregga la causa individuata e ripeta la stessa prova. Non elimini i dati del namespace in Active Directory per risolvere un problema di cache del client.

La disponibilità dei server del namespace e quella dei dati richiedono progetti distinti. Questa configurazione con FS1 non aggiunge un altro file server e non replica Sales o Support. Per rimuovere l'esercitazione, esamini in Gestione DFS solo le cartelle logiche e le loro destinazioni e successivamente il namespace di laboratorio. Conservi le condivisioni originali e i dati di Sales e Support: rimuovere un'associazione logica non significa dover eliminare le cartelle fisiche.