Windows Server 2025 / 为部门共享创建 DFS 命名空间

分布式文件系统（Distributed File System，DFS）命名空间将多个共享集中在同一逻辑路径下，例如 \\ad.example.test\Files\Sales。文件仍保存在各自的目标共享中；创建命名空间本身不会复制数据，也不能单独保证高可用性。

区分逻辑路径与实际存储

DFS 命名空间提供路径和引用，告诉客户端应连接哪个共享；DFS 复制是另一项角色服务。开始前，请用两名普通用户验证 FS1 上现有的 Sales 和 Support 部门共享的直接访问与权限隔离。如果直接路径无法访问，应先排查共享、域名系统（DNS）解析或身份验证。命名空间不能修复这些问题。

准备角色、权限和名称

Install-WindowsFeature FS-DFS-Namespace -IncludeManagementTools
Get-WindowsFeature FS-DFS-Namespace

在 FS1 上以管理员权限运行 PowerShell 安装角色，并确认第二条查询显示该功能已安装。运行 dfsmgmt.msc 打开“DFS 管理”。创建此域命名空间既需要相应的域权限，也需要 FS1 的本地管理权限；Microsoft 的 DFS 管理权限委派指南区分了这两项要求。仅有本地管理员权限并不意味着可以在域中任意创建命名空间。确认名称 Files 及其根共享尚未使用；如发现现有配置，应先检查，不能直接覆盖。

按照创建命名空间指南选择基于域的选项。根据命名空间模式要求，Windows Server 2008 模式至少需要 Windows Server 2003 林功能级别和 Windows Server 2008 域功能级别。请核对实验环境的实际级别。此名称指命名空间的行为模式，并不要求安装 Windows Server 2008，也不是 FS1 操作系统版本的说明。

创建基于域的命名空间

1. 在“DFS 管理”中右键单击“命名空间”，选择“新建命名空间”。
2. 选择 FS1 作为命名空间服务器，然后继续。
3. 输入名称 Files，保持英文原样。检查将要创建的根文件夹与共享，例如 C:\DFSRoots 下的新文件夹。不要未经检查就复用存有数据的文件夹或现有共享。
4. 在根共享设置中，向本练习获授权的组（例如 GG_Sales 和 GG_Support）授予读取权限，并保留必要的管理权限。不要允许普通用户在根目录创建文件或管理权限；创建后还要检查 NTFS（New Technology File System，新技术文件系统）权限。
5. 选择基于域的命名空间，以及符合已核实条件的模式。确认最终路径为 \\ad.example.test\Files，而不是 FS1 的独立根路径，再创建命名空间。等待向导确认成功后再添加文件夹。

创建后，还要检查向导所指的本地根文件夹：“属性”→“安全”→“高级”。仅针对这个新根文件夹，如果需要移除继承的创建权限，可以先将继承权限转换为显式条目。保留 SYSTEM 和管理员所需的管理权限，为获授权的组设置作用范围正确的读取、执行和列出文件夹权限。若存在 Users 或创建者所有者（CREATOR OWNER）条目，应移除其中不必要的写入、创建权限。读取根目录是为了获取引用；数据权限在 Sales 或 Support 目标上另行检查。能看到 Files 不代表同时获准访问两个部门。不要把文档放进命名空间根目录，也不要因此修改目标共享的访问控制列表（ACL）。

将逻辑文件夹连接到现有目标

1. 右键单击新命名空间，选择“新建文件夹”。输入名称 Sales，不要翻译该名称。
2. 单击“添加”，将现有共享 \\fs1.ad.example.test\Sales 指定为目标。确认两个对话框。
3. 对逻辑文件夹 Support 重复操作，目标为 \\fs1.ad.example.test\Support。练习对象名称须与表格路径一致，不要将 Sales 或 Support 改成中文。
4. 如果向导建议创建复制组，本练习中不要创建。复制配置与多目标之间的数据一致性需要另行规划。

目标必须使用通用命名约定（Universal Naming Convention，UNC）的共享路径，不能使用服务器本地的 D:\ 路径。添加文件夹目标指南说明了这一关联。本练习中，每个逻辑文件夹仅关联一个现有目标。添加两个不同的目标并不会同步它们的内容，也不会自动使它们成为等价副本。

Get-DfsnRoot -Path '\\ad.example.test\Files'
Get-DfsnFolder -Path '\\ad.example.test\Files\*'
Get-DfsnFolderTarget -Path '\\ad.example.test\Files\Sales'

在包含 DFSN 模块的 FS1 上运行这些 DFS 查询。结果应显示域根目录、Sales 和 Support 文件夹，以及与表格完全一致的 Sales 目标。配置记录正确不能单独证明客户端能够打开或修改数据；还应继续使用普通用户实际验证。

以普通用户验证访问并保留数据

在 CLIENT1 上以 sales.user1 重新登录，检查 whoami、组成员身份及现有的服务器消息块（Server Message Block，SMB）连接，避免复用管理员身份。打开 Sales 的 DFS 路径，使用尚未占用的名称创建一个内容易于识别的小文件，再通过 Sales 的直接共享路径读取：两处应是同一个文件。尝试访问 Support 的完整 DFS 路径，确认被拒绝。随后以 support.user1 做相反方向的验证。目录列表中出现某个文件夹，并不能证明有权访问其中的数据。

如果直接访问正常而逻辑路径失败，请在“DFS 管理”中核对根、逻辑文件夹和准确的目标，再检查客户端的域名解析与缓存的引用。引用缓存和 SMB 凭据不是同一回事；退出用户会话不能证明所有 DFS 缓存均已清空。修复已确定的原因后，重复相同测试。不要为了处理客户端缓存问题而删除 Active Directory 中的命名空间数据。

命名空间服务器的可用性与数据的可用性需要分别设计。此处只有 FS1，并没有增加另一台文件服务器，也没有复制 Sales 或 Support。若要撤销练习，应先在“DFS 管理”中核对并移除实验的逻辑文件夹及目标关联，之后再处理实验命名空间。保留原来的 Sales、Support 共享及数据；删除逻辑关联并不意味着应删除物理文件夹。