Как организовать общие папки и права доступа на файловом сервере

Короткий ответ

Порядок на файловом сервере держится на четырёх правилах:

1. Неглубокая структура по отделам с понятными владельцами.
2. Права только через группы, никогда напрямую пользователям.
3. Минимальные привилегии: по умолчанию чтение, запись — только там, где она нужна.
4. Снапшоты и версии, чтобы ошибка или шифровальщик не означали потерю работы.

Эти правила одинаково работают на Windows Server, NAS Synology или QNAP и Samba на Linux — отличается только интерфейс.

Структура папок

Держите её простой: не больше двух-трёх уровней, на которых меняются права.

Shares/
├── Common/          все: чтение, сотрудники: запись в подпапках
├── Departments/
│   ├── Finance/     Finance: изменение, Management: чтение
│   ├── Sales/       Sales: изменение
│   ├── HR/          HR: изменение, больше никто
│   └── Marketing/   Marketing: изменение
├── Projects/
│   └── <project>/   команда проекта: изменение
└── Archive/         все, у кого есть доступ: только чтение

Принципы:

• Права задаются на верхних уровнях. Вложенные папки их наследуют. Если особый случай нужен на пятом уровне — структура неправильная.
• У каждой верхней папки есть владелец — человек, который решает, кому давать доступ.
• Никаких личных данных в общих папках. Личным файлам место в домашних папках или облаке пользователя.

Права через группы

Создайте группы по ролям и уровню доступа, например:

• GG-Finance-RW — сотрудники финансов, чтение и запись.
• GG-Finance-RO — руководство, только чтение.

Затем выдавайте права на папку группам, а не людям. Когда человек приходит или уходит, вы меняете членство в группе, а не права на папках. В Windows на этой логике построена классическая модель AGDLP: пользователи входят в ролевые группы, а ролевые группы получают доступ к ресурсам.

В Windows выдачу прав можно записать так:

icacls "D:\Shares\Departments\Finance" /grant "CORP\GG-Finance-RW:(OI)(CI)M"
icacls "D:\Shares\Departments\Finance" /grant "CORP\GG-Finance-RO:(OI)(CI)RX"

(OI)(CI) распространяет право на подпапки и файлы, M — изменение, RX — чтение и выполнение.

Минимальные привилегии на практике

• По умолчанию — только чтение. Запись выдаётся, когда её требует задача.
• Никакого «Полного доступа» пользователям. Для работы хватает «Изменения»; полный доступ позволяет людям самим менять права.
• Избегайте группы «Все» (Everyone). Используйте группу прошедших проверку пользователей или конкретные группы.
• Скрывайте недоступное. Access-based enumeration в Windows (и похожие опции на NAS) показывает пользователю только те папки, которые он может открыть.
• Права общего ресурса и права файловой системы. В Windows часто делают так: права шары выдают широко прошедшим проверку пользователям, а доступ регулируют правами NTFS — одно место управления вместо двух.

Версии и снапшоты

• Снапшоты хранят состояние тома на момент времени. В Windows теневые копии тома позволяют пользователю восстановить файл через «Предыдущие версии». На NAS то же делают снапшоты по расписанию, часто с защитой от удаления.
• Настройте расписание — несколько раз в день для активных данных — и храните разумную историю.
• Снапшоты — не бэкап. Они живут на том же хранилище. Держите отдельную копию в другом месте.

Как остановить хаос с правами

Если сервер уже похож на лабиринт:

1. Выгрузите текущие права и найдите папки с прерванным наследованием и прямыми правами пользователей.
2. Согласуйте целевую структуру и владельцев папок с руководителями отделов.
3. Создайте группы и наполните их по ролям.
4. Переносите данные в новую структуру поэтапно, с правами только на верхних уровнях.
5. Уберите прямые права пользователей и восстановите наследование ниже верхнего уровня.
6. Введите простой процесс: запросы на доступ идут владельцу папки, изменения — только через группы.
7. Регулярно проверяйте — как минимум при смене ролей и уходе сотрудников.