挂载SFS Turbo文件系统到Windows云服务器

前提条件

Windows云服务器与SFS Turbo文件系统所属同一VPC，或已通过VPC对等连接、云专线、VPN等方式实现网络互通。

约束与限制

Windows系统挂载SFS Turbo文件系统（SMB协议）

1. 准备环境。以下步骤在每台Windows云服务器上仅需执行一次，无需在每次挂载文件系统时重复执行。
   以下步骤确保Windows系统能够正确识别和访问SMB文件系统。Workstation服务和TCP/IP NetBIOS Helper服务是SMB协议正常工作的基础依赖。

   1. 开启Workstation服务。正常情况下，Workstation服务默认为启动状态。
      1. 选择“所有程序 > 附件 > 运行”或使用快捷键Win+R，输入services.msc进入本地服务。
      2. 在服务中找到Workstation，确认状态为正在运行，启动类型为自动。
      图1 “服务(本地) > Workstation”确认界面
      
   2. 开启TCP/IP NetBIOS Helper服务。正常情况下，TCP/IP NetBIOS Helper服务默认为启动状态。
      1. 打开网络和共享中心，单击主机所连网络。
      2. 单击“属性”，双击“Internet 协议版本 4（TCP/IPv4）”进入属性框，单击“高级”。
      3. 在高级TCP/IP设置对话框中，选择“WINS > 启用TCP/IP上的NetBIOS(N)”，单击“确定”。
         图2 启用TCP/IP上的NetBIOS(N)
         
      4. 选择“所有程序 > 附件 > 运行”或使用快捷键Win+R，输入“services.msc”进入本地服务。
      5. 在服务中找到TCP/IP NetBIOS Helper，确认状态为正在运行，启动类型为自动。
         图3 “服务(本地) > TCP/IP NetBIOS Helper”确认界面
         

2. 挂载SFS Turbo（SMB协议）文件系统。
   1. 打开CMD命令行窗口，执行以下命令挂载文件系统。

      # guest认证
      net use X: \\huawei.com\share
      # 匿名认证
      net use X: \\huawei.com\share "" /user: 
      # AD域认证
      net use X: \\huawei.com\share /user:example.com\USERNAME PASSWORD

      表2 参数说明

      参数名称	说明
      X	挂载目标盘符，请选择未被占用的盘符。如果需挂载多个文件系统，请分别使用不同盘符。
      huawei.com	创建文件系统时自动生成的挂载地址，请替换为文件系统详情页中的实际值。
      share	SMB的共享名称，禁止变更。
      example.com	AD域服务器域名，请替换为实际值。
      USERNAME	AD域服务器域设置的用户名，请替换为实际值。
      PASSWORD	AD域服务器域设置的用户密码，请替换为实际值。

      

      guest认证和匿名认证仅在文件系统未加入AD域时使用。文件系统加入AD域后，请先卸载当前连接，再以AD域用户身份重新挂载。文件系统退出AD域（退域）后，请先卸载连接，等待约30秒后重新挂载（由于退域后身份验证方式变更，建议使用匿名认证）。

   2. 执行以下命令，确认文件系统挂载成功。

      net use

      如果回显包含如图4所示类似信息，说明挂载成功。挂载成功后，您可以在云服务器上访问文件系统，执行读取或写入操作。

      图4 挂载命令
      

      您还可以通过以下方式验证挂载是否成功：

      1. 打开“此电脑”，查看是否新增映射盘符（如X:盘）。
      2. 在CMD中执行dir X:命令（X:为映射盘符），查看文件系统中的文件和目录。
   3. 执行以下命令卸载文件系统。卸载前请关闭所有正在访问该盘符的程序和窗口，否则卸载可能失败。如果卸载失败，可先关闭资源管理器（任务管理器中结束explorer.exe进程），执行卸载后再重新启动资源管理器。

      # 卸载指定盘符
      net use X: /del
      # 卸载所有连接
      net use * /del

      图5 卸载命令
      

将SMB文件系统接入AD域

1. 搭建AD域服务器。需准备一台与文件系统（SMB协议）在同一VPC下的Windows云服务器，确保网络互通。AD域服务器的DNS服务器地址需配置为自身IP，安装AD域服务时会自动配置DNS。
   1. 登录Windows客户端。
   2. 在桌面左下角的搜索栏查询“服务器管理器应用”，单击进入服务器管理器。
   3. 单击“仪表板 > 添加角色和功能”选项。
      图6 添加角色和功能
      
   4. 进入“添加角色和功能”页面，单击“基于角色或基于功能的安装”，单击“下一页”，再单击“服务器选择 > 从服务池中选择服务器”，单击“下一页”。
      图7 选择“基于角色或基于功能的安装”
      
      图8 选择“从服务池中选择服务器”
      
   5. 勾选“Active Directory 域服务”，单击“下一页”，再单击“安装”。
      图9 勾选“Active Directory 域服务”
      
      图10 安装界面
      
   6. 完成安装后，在服务器管理器界面的右上角，单击任务图标，单击“将此服务器提升为域控制器”。
      图11 “服务器管理器 > 将此服务器提升为域控制器”界面
      
   7. 进入到Active Directory 域服务配置向导界面，选中“部署配置 > 添加新林”，并在根域名栏填入域名信息。
      图12 添加新林
      
   8. 设置“域控制器选项 > DNS选项 > 键入目录服务还原模式(DSRM)密码”，然后默认选择“下一页”，直到进入“路径”选项卡，根据需要选择AD域数据日志文件夹路径。
      图13 设置目录服务还原模式(DSRM)密码
      
      图14 选择AD域数据日志文件夹
      
   9. 查看选项默认选择“下一页”，在完成先决条件检查后，单击“安装”，等待AD域服务安装完成，并重启AD域服务器所在环境（即重启电脑）。
      图15 安装AD域服务
      

2. 将文件系统加入AD域。
   • 加域流程：
     1. 登录SFS Turbo控制台。
     2. 在SFS Turbo文件系统列表中，找到待加域的文件系统并单击目标文件系统名称，进入文件系统详情界面。
     3. 进入Active Directory配置页面，单击“加域”。
        图16 Active Directory配置页面
        
     4. 填写Active Directory配置信息。
        图17 填写配置信息
        

        表3 参数说明

        参数名称	说明
        域名	需要加入的AD域域名，如example.com。
        DNS服务器IP地址	解析域名的DNS服务器IP，单击+，可添加备用DNS服务器IP，最多添加三个IP。
        服务账户用户名	AD域服务器管理员账户，如：administrator。
        服务账户密码	AD域服务器管理员账户密码。
        系统名称	在AD域服务器标识唯一性的系统名称，不能重复，否则加域失败。
        覆盖系统名称	如果域控制器中存在同名的系统名称，开启该选项后，已有的系统名称将会被覆盖。
        单元组织	加入AD域服务器的单元，不填默认加入Computers，如：cn=Computers,dc=example,dc=com。

     5. 等待片刻后，Active Directory配置页面将显示域名、DNS服务器IP地址、系统名称等信息，状态显示为“可用”，表明加域成功。
        1. 加域成功后，请确认DNS服务器IP地址已自动更新为AD域服务器的IP。
        2. 如果加域失败，请检查：AD域服务器是否正常运行、网络是否互通、输入的域名和密码是否正确。
        图18 加域成功的展示信息
        
   • 退域流程：
     1. 在已加域界面，单击“退域”按钮，弹出退域提示界面。
        图19 “退域”按钮展示
        
     2. 输入AD域账户用户名和密码，单击“确定”，开始退域流程。
        图20 退域流程账号密码输入界面
        
     3. 退域成功后，Active Directory配置页面将清空已配置的AD域信息。
        图21 退域成功界面展示
        

Windows客户端以AD域用户身份挂载并使用SMB文件系统

下文介绍在Windows操作系统中，以AD域用户身份挂载SFS Turbo文件系统（SMB协议），以及挂载成功后，以AD域用户身份访问文件系统，查看和编辑文件或目录的ACL。

前提条件：文件系统已接入AD域，详细操作请参见将SMB文件系统接入AD域。

方式一：Windows客户端加入AD域并挂载文件系统（SMB协议）

1. 配置Windows客户端的DNS服务器地址。
   1. 登录Windows客户端。
   2. 在桌面左下角，单击“开始”。
   3. 在开始菜单栏，单击“控制面板”。
   4. 在控制面板对话框，选择“网络和Internet > 网络和共享中心”。
   5. 在网络与共享中心对话框查看活动网络区域，单击“以太网”。
   6. 在以太网属性对话框，单击“属性”。
   7. 在以太网属性对话框的“此连接使用下列项目”区域，选中“Internet协议版本4（TCP/IPv4）”，单击“属性”。
   8. 在Internet协议版本4（TCP/IPv4）属性对话框，选中“使用下面的DNS服务器地址”，设置DNS服务器地址为AD域服务器的IP地址。
      图22 设置DNS服务器地址
      
   9. 使用命令提示符工具执行ping命令，ping AD域名，验证Windows客户端和AD域之间的连通性。
      图23 执行ping命令
      

2. 将Windows客户端加入AD域。
   1. 在控制面板对话框，选择“系统和安全 > 系统”。
   2. 在系统对话框计算机名、域和工作组设置区域，单击“更改设置”。
   3. 在系统属性对话框，单击“更改”。
   4. 在计算机名/域更改对话框，填写已搭建的AD域名。根据界面提示，单击“确定”完成配置。
      图24 计算机名/域更改对话框
      
   5. 重启Windows客户端，使修改配置生效。
   6. 加入AD域后，请以AD域用户身份登录Windows客户端验证。在CMD中执行whoami命令，确认当前用户为“域名\用户名”格式。

3. 挂载文件系统。

   以AD域用户身份登录Windows客户端，使用命令提示符工具执行以下命令，挂载文件系统。

   net use X: \\huawei.com\share /user:example.com\USERNAME PASSWORD

   表4 参数说明

   参数名称	说明
   X	挂载目标盘符，请选择未被占用的盘符。
   huawei.com	创建文件系统时自动生成的挂载地址，请替换为实际值。
   share	SMB的共享名称，禁止变更。
   example.com	AD域服务器域名，请替换为实际值。
   USERNAME	AD域服务器域设置的用户名，请替换为实际值。
   PASSWORD	AD域服务器域设置的用户密码，请替换为实际值。

方式二：Windows客户端连接AD域服务器并挂载文件系统（SMB协议）

1. 配置Windows客户端的DNS服务器地址。
   1. 登录Windows客户端。
   2. 在桌面左下角，单击“开始”。
   3. 在开始菜单栏，单击“控制面板”。
   4. 在控制面板对话框，选择“网络和Internet > 网络和共享中心”。
   5. 在网络与共享中心对话框查看活动网络区域，单击“以太网”。
   6. 在以太网属性对话框，单击“属性”。
   7. 在以太网属性对话框的“此连接使用下列项目”区域，选中“Internet协议版本4（TCP/IPv4）”，单击“属性”。
   8. 在Internet协议版本4（TCP/IPv4）属性对话框，选中“使用下面的DNS服务器地址”，设置DNS服务器地址为AD域服务器的IP地址。
      图25 设置DNS服务器地址
      
   9. 使用命令提示符工具执行ping命令，ping AD域名，验证Windows客户端和AD域之间的连通性。
      图26 执行ping命令
      

2. 挂载文件系统。

   登录Windows客户端，使用命令提示符工具执行以下命令，挂载文件系统。

   net use X: \\huawei.com\share /user:example.com\USERNAME PASSWORD

   表5 参数说明

   参数名称	说明
   X	挂载目标盘符，请选择未被占用的盘符。
   huawei.com	创建文件系统时自动生成的挂载地址，请替换为实际值。
   share	SMB的共享名称，禁止变更。
   example.com	AD域服务器域名，请替换为实际值。
   USERNAME	AD域服务器域设置的用户名，请替换为实际值。
   PASSWORD	AD域服务器域设置的用户密码，请替换为实际值。

方式三：使用图形用户界面（GUI）挂载文件系统（SMB协议）

以下步骤介绍如何使用图形用户界面（GUI）挂载文件系统。

1. 打开“文件资源管理器”（Windows资源管理器）。
2. 在地址栏中输入文件系统的挂载地址，例如：

   \\huawei.com\share

   表6 参数说明

   参数名称	说明
   huawei.com	创建文件系统时自动生成的挂载地址，请替换为实际值。
   share	SMB的共享名称，禁止变更。

3. 按Enter键。如果系统提示输入凭据，请输入AD域服务器的用户名和密码进行身份验证。
4. 完成上述步骤后，系统将自动映射文件系统共享到Windows的文件资源管理器中，您将在“网络位置”或“此电脑”中看到映射的驱动器，即成功挂载文件系统。
   

   • 步骤中的细节可能会因操作系统版本和网络配置而有所不同，请确保文件系统和AD域服务器配置正确。
   • GUI方式挂载为临时挂载，重启后不会自动恢复。如需持久化挂载，请在CMD中执行net use命令，并配置“再次登录时重新连接”选项。

管理SMB协议文件系统ACL

开启ACL功能并以AD域身份挂载文件系统（SMB协议）后，您可以采用以下方式查看和编辑文件或目录ACL。

方式一：mklink命令行工具。

您可以使用mklink命令行工具，在Windows本地磁盘为文件系统挂载点生成符号链接，同时查看、编辑文件或目录的ACL。

1. 登录Windows客户端。
2. 在搜索栏输入命令提示符，运行命令提示符应用，进入命令行工具窗口。
3. 使用命令提示符工具创建文件系统映射，在命令行输入如下命令。

   mklink /D C:\myshare \\huawei.com\share

   表7 参数说明

   参数名称	说明
   C:\myshare	符号链接的文件系统路径。
   \\huawei.com\share	文件系统的挂载点。

4. 将文件系统映射到本地盘后，可在本地盘查看、编辑文件或目录的ACL，参考下文的方式二：Windows文件资源管理器。
   

   非Administrator用户没有权限操作，按照步骤5为普通用户添加符号链接权限。

5. 为普通用户添加使用符号链接的权限。如果您使用系统管理员Administrator，请跳过此步骤。
   1. 使用系统管理员Administrator登录Windows客户端。
   2. 单击搜索栏并运行secpol.msc。
      图27 搜索并运行secpol.msc
      
   3. 在本地安全策略对话框，选择“本地策略 > 用户权限分配”，按照页面提示将指定用户加入创建符号链接的权限组中。
      图28 本地安全策略对话框
      
      图29 添加用户或组
      

方式二：Windows文件资源管理器。

在Windows本地磁盘为文件系统挂载点生成符号链接，可以通过Windows的文件资源管理器（File Explorer）查看、编辑文件或目录的ACL。

1. 找到目标文件或目录，右键单击“属性”。
   图30 选择属性
   

2. 在属性对话框，单击“安全”页签，然后单击“编辑”。
   图31 选择编辑
   

3. 在权限对话框，单击“添加”，按照页面提示填写相关信息。
   图32 权限对话框
   
   图33 填写信息
   
   

   1. 在使用Windows文件资源管理器查看文件系统时，如果需要回退本地磁盘路径，请单击“回退”按钮（下图中的标注“1”）或者“上退”按钮（下图中的标注“2”），请不要选中路径中的某一段（下图中的标注“3”）来回退。
      图34 回退或上退本地磁盘路径
      
   2. 在使用Windows文件资源管理器访问和使用文件系统时，如果Windows客户端未加入AD域，通过普通网络路径（如\\huawei.com\share）而非本地磁盘路径（如C:\myshare）访问文件系统，在设置ACL时会因接口不可用而无法确定文件系统挂载点是否已加入域，导致无法验证域身份而受限。
      图35 无法确定计算机是否加入域告警
      
      图36 接口未知告警
      
   

   Windows文件资源管理器对C:\myshare修改权限并不会应用到文件系统的根目录。修改根目录权限需要使用Set-Acl PowerShell命令或者icacls命令。

方式三：icacls命令。

icacls命令是Windows命令行中的ACL操作标准命令。您可以通过icacls命令查看、编辑文件或目录ACL。

• 请不要修改根目录的ACL信息，否则可能导致文件系统无法访问。
• 如果根目录ACL被恶意删除，可通过如下命令恢复，其中X:\ 为挂载盘符。如果everyone权限被删除，导致无法设置ACL及访问根目录，需要使用超级用户或者AD域管理员账户（administrator）恢复根目录的everyone权限。

  icacls X:\ /grant BUILTIN\Administrators:(OI)(CI)(F)
  icacls X:\ /grant “CREATOR OWNER”:(OI)(CI)(IO)(F)
  icacls X:\ /grant “NT AUTHORITY\SYSTEM”:(OI)(CI)(F)
  icacls X:\ /grant Everyone:(F)

用户设置ACL示例：

# 获取X: 目录的控制权限列表（需要该目录的读取权限）
icacls X:\
# 添加用户的完全控制权限
icacls X:\ /grant <用户名>:(F)
# 添加Administrator的完全控制权限
icacls X:\ /grant Administrator:(F)
# 删除用户的所有权限
icacls X:\ /remove <用户名>
# 删除Everyone的所有权限
icacls X:\ /remove Everyone

1. 登录Windows客户端。
2. 在搜索栏，输入命令提示符，运行命令提示符应用，进入命令行工具窗口。
3. 设置文件ACL权限。
   图37 设置文件ACL权限
   

4. 移除用户ACL权限。
   图38 移除用户ACL权限
   

方式四：通过PowerShell工具获取和设置ACL。

1. 登录Windows客户端。
2. 在搜索栏，输入Windows PowerShell，运行Windows PowerShell应用，进入Windows PowerShell命令行工具窗口。
3. 查看文件ACL权限。

   #Get properties
   $value = Get-Acl -Path "X:"
   $value.Access

   图39 PowerShell查看ACL
   

4. 设置文件ACL权限。

   #Set properties
   $value = Get-Acl -Path "X:"
   $identity = "Administrator"
   $fileSystemRights = "FullControl" 
   $type = "Allow"
   # Create new rule 
   $fileSystemAccessRuleArgumentList = $identity, $fileSystemRights, $type
   $fileSystemAccessRule = New-Object -TypeName System.Security.AccessControl.FileSystemAccessRule -ArgumentList $fileSystemAccessRuleArgumentList
   # Apply new rule
   $value.SetAccessRule($fileSystemAccessRule)
   $value.Access
   #Set ACL
   Set-Acl -Path "X:" -AclObject $value

   图40 PowerShell设置ACL
   
   

   根目录权限请在创建文件系统时设置妥当，否则由于权限继承机制，后续修改根目录权限时会连带影响所有子目录和子文件。

故障排除

SFS Turbo文件系统挂载失败

云服务器无法访问SFS Turbo文件系统

挂载至两种服务器系统的SFS Turbo文件系统无法写入数据

使用Windows系统挂载SFS Turbo文件系统时提示不能访问此共享文件夹

相关文档

• 卸载SFS Turbo文件系统：如果不再需要使用文件系统，您可以卸载已挂载的SFS Turbo文件系统，释放云服务器的挂载资源。
• 配置AD域认证：以AD域用户身份挂载SFS Turbo文件系统前，您需要先将文件系统接入AD域。