事件背景

3年前，在浙江金华做过一个桌面虚拟化项目，用的VMware的产品Horizon View。像多数人一样，其实我对这个产品一直持一个保守的态度，总觉得一个看不见摸不着的操作系统给人一种不踏实的错觉，虽然自己已经从事虚拟化行业好多年。就像一些桌面虚拟化从业者一样，喜欢将桌面用户的永久磁盘弱化或者弃用，使用其他的产品来替代。得益于VMware Horizon产品必须采用微软域控的原因，所以首先想到的就是使用微软文件共享(SMB)来作为用户的数据磁盘，以至于将用户数据都能够直接存储于统一的文件共享服务器，这样更便于对用户数据进行管理和备份，同时也提供了一个平台以实现不同用户或部门之间的协同办公。

就在昨天，和当时的老同事A联系，聊到那个项目的驻场同事B，就像所有单位的外包人员一样，事故面前彰显价值。最终同事B转入另一家公司甲方。

话说曹操曹操就到，今天早上一大早，同事B打电话过来，咨询当时文件共享的搭建方法。别说简单，那是你没有用到极致。所以，在此写下这篇文章，献给有需要的同道中人吧。

相比于当初的桌面虚拟化环境，同事B所在公司是非域环境，并且国内非域环境偏多，所以，这篇文章以非域环境来讲述文件共享的带权限分配。需求很简单，提供三级文件目录：全局目录，全部部门可读写；部门目录，各部门可读写，并有多部门协同办公场景，要求多个部门可读写；个人目录，仅个人可读写。看似简单，而在非域环境，操作增加了很多繁琐的步骤。

前言·谨记

正如您想的那样，文件共享的弊端那么多，真的值得使用么？说实话，风险是有的，但是做什么事没有风险呢，最终的衡量标准并非只有风险，如果这样，那就不用做事了。当您充分衡量利弊关系后，取其利而规其弊才是最终办法。

文件共享相比于FTP/云盘等文件服务来说，毕竟是微软自己的，拥有更贴合windows系统的优势，权限更贴近于操作系统。而其弊端也是很大的，server服务容易传播勒索病毒，集中的用户文件存储相比于分散存储来说，一旦中毒那将不堪设想。

对于大多数IT文盲的用户来说，文件共享的优势是如此明显。如果下定决心使用的话，就只能尽可能的规避其弊端。勒索病毒问题其实很容易解决，对文件共享服务器务必定期更新其操作系统补丁。病毒威胁方面，并非一个杀毒软件就能了事，还需要健全的备份机制并提供多个时间的还原节点，谨防数据安全威胁。

步骤1、文件共享服务器准备

根据用户终端系统比例，选择合适的文件共享服务器操作系统，建议选择与终端系统相同内核的服务器系统，在此以windows 10+server 2016操作系统为例。

搭建Windows Server 2016系统，分配D盘空间为500G，建议将文件服务器部分在虚拟化环境，以便于根据用户存储数据量大小而更方便的调整D盘空间。然后就是配置IP地址和主机名。

步骤2、用户和组的创建

在文件共享服务器上按照如下表格创建用户和用户组，率属关系："用户">“部门组BumenX”>“本地组Users”。

右键点击"开始"，在弹出菜单选择"计算机管理"依次展开"本地用户和组"-"用户"。开始新建用户，依次输入用户名、全名、描述、密码后点击确定直至所有用户添加完毕。转到"组"目录，右键点击空白处并选择"新建组"。填写组名、描述并添加部门成员用户，直至所有部门组创建完毕。如下图所示。按照规划表，需将部门组率属于Users组，但受限于文件共享服务器为单机，且新建用户时默认率属于组Users，故此步骤无需操作。如果文件服务器为域环境，此步骤可正常执行。共享文件夹的创建

按照用户方需求创建三级文件夹，分别为全局共享、部门共享、个人共享。

创建常规目录设置文件夹共享，右键点击"某某公司文件共享平台"选择属性，依次"共享"-"高级共享"-"共享此文件夹"-"确定"为了提升用户体验，在用户视角隐藏无权限文件夹是很有必要的，打开"服务器管理器"-"文件和存储服务"-"共享"，右键点击新建的共享文件夹选择属性，转到设置，勾选"启用基于存取的枚举"确定即可(部分系统叫做基于权限的枚举)。文件夹权限的设置共享文件夹默认为Everyone只读访问，安全设置中限制为文件夹所有者、系统、管理员组、Users只读。修改共享文件夹共享权限为读取和更改。设置共享文件夹安全设置，限制用户写入，以防用户随意在根目录写入文件。删除文件夹继承权限，添加Users组读取和执行权限。应用并关闭窗口。分别对子文件夹进行权限设置，阻止文件夹权限继承(主要删除Users的可读权限)，添加相应用户或组的读写权限。以"全局共享目录"为例，右键点击文件夹，依次点击"安全"-"高级"-"权限"-"禁用继承"-"从此对象中删除所有已继承的权限"。点击"添加"按钮，添加相应用户或组的读写权限检查文件夹权限结果，点击"有效访问"选项卡，选择用户并验证权限列表其他文件夹以此类推，对其他文件夹权限进行设置，最终设置如下用户权限验证用户甲权限验证，无权文件是否可见、共享根目录读写、子文件夹读写等。由于windows客户端访问共享后会短时间记住用户名密码(即使未勾选记住密码)，故测试时可使用更改文件共享服务器IP的方法以使用其他用户登陆测试。测试完成后将共享服务器IP改回计划IP。客户端电脑资源管理器输入\\共享服务器IP，打开共享，弹出登陆窗口输入用户甲的用户名和密码后进入共享，双击打开共享文件夹

基于存取的枚举设置已生效，效果如下

共享根目录只读权限验证：通过全局目录可读写验证：通过部门目录可读写验证：通过个人目录可读写验证：通过用户体验提升常规时候我们都是将共享文件夹创建快捷方式，但是我个人觉得把共享文件夹以磁盘的形式提供给用户会更好。右键点击共享文件夹或其子文件夹，选择映射网络驱动器，输入用户名密码即可如果可以的话使用脚本编辑本地组策略自动映射网络驱动器会更人性化，域环境的话用户无需输入用户名密码(自动使用终端用户名登陆)可以直接在域组策略实现，用户也能更方便的修改密码。注意事项在没有域控支持的情况下，文件共享用户密码只能通过登陆共享服务器修改牢记对共享服务器进行补丁更新，防患勒索软件侵害牢记共享服务器杀毒并更新病毒库，设置共享文件夹远端备份，防止数据丢失

如果您觉得这个教程实用的话，欢迎点赞/评论/转发，让更多人知道。