Настройка общих папок с квотами и ограничениями (FSRM) в Windows Server
Архитектура файловых серверов и роль FSRM
Управление общими папками (File Shares) базовыми средствами NTFS не позволяет гибко контролировать объем папок на уровне подкаталогов и блокировать нежелательный контент. Драйвер FSRM (File Server Resource Manager / srm.sys) интегрируется в стек файловой системы Windows Server на уровне фильтра мини-порта. Он позволяет на лету перехватывать операции ввода-вывода (I/O). Без FSRM возникают критические бизнес-риски: один пользователь может забить весь LUN файлового сервера личными фильмами, вызвав отказ в обслуживании (Denial of Service) для всей компании, или зашифровать сервер при атаке Ransomware (если не настроен скрининг).
Механизмы контроля FSRM
| Функция FSRM | Механизм работы ядра | Сценарий применения |
|---|---|---|
Жесткая квота (Hard Quota) | Драйвер srm.sys блокирует запись (Access Denied), если лимит превышен. | Ограничение личных папок (Home Folders) до 10 ГБ на сотрудника. |
Мягкая квота (Soft Quota) | Запись разрешена, но генерируется Event ID и отправляется Email администратору. | Мониторинг роста общих департаментских папок без остановки бизнес-процесса. |
Экран файлов (File Screen) | Анализ расширений файлов. Блокировка .mp3, .exe, .vbs или известных расширений шифровальщиков. | Защита от CryptoLocker и экономия дорогого дискового пространства SAN. |
Пошаговое развертывание и настройка FSRM
Сценарий 1: Установка роли FSRM и настройка SMTP
Установка компонента и настройка почтового сервера для алертинга.
Установка компонента FSRM и PowerShell модуля
Install-WindowsFeature -Name FS-Resource-Manager -IncludeManagementTools
Настройка SMTP для уведомлений о превышении квот
Set-FsrmSetting -SmtpServer "mail.corp.com" -FromEmailAddress "fsrm@corp.com" -AdminEmailAddress "it@corp.com"Сценарий 2: Создание автоматической (Auto Apply) квоты
Автоматическое применение лимита ко всем вложенным папкам (идеально для Home Folders).
Создание шаблона квоты на 10 ГБ (Жесткая)
New-FsrmQuotaTemplate -Name "User_10GB_Hard" -Size 10GB -Type Hard
Применение авто-квоты к корневой папке
New-FsrmAutoQuota -Path "D:\HomeFolders" -Template "User_10GB_Hard"Сценарий 3: Настройка блокировки файлов (File Screen)
Запрет на запись аудио/видео файлов в рабочие папки.
Создание группы расширений (если нет стандартной)
New-FsrmFileGroup -Name "Media_Files" -IncludePattern @("*.mp3", "*.mp4", "*.avi", "*.mkv")
Создание правила блокировки для папки
New-FsrmFileScreen -Path "D:\CompanyShare" -IncludeGroup "Media_Files" -Active $trueТиповые ошибки администраторов
- Квотирование на уровне NTFS вместо FSRM: NTFS-квоты привязываются к Владельцу файла (SID), а не к физической папке. Если администратор скопирует файлы в папку пользователя, они спишутся с квоты админа. FSRM решает эту проблему, так как контролирует емкость самой директории.
- Размещение FSRM на томах ReFS: Исторически FSRM имел серьезные ограничения при работе с файловой системой ReFS (до Windows Server 2019). Использовать дедупликацию и FSRM лучше на классическом NTFS.
Наведение порядка в файловой структуре — сложная задача. Команда ITSTM проведет аудит данных, настроит DFS-пространства, внедрит ABE (Access-Based Enumeration) и скрининг файлов. Ваши данные будут в безопасности, а СХД перестанет переполняться.
Частые вопросы (FAQ)
Как пользователь узнает, что у него закончилась квота FSRM?
В Windows 10/11 при обращении к сетевому диску пользователь увидит реальный объем квоты (например, 10 ГБ вместо 5 ТБ диска сервера). При превышении он получит стандартную системную ошибку 'Недостаточно места на диске'.
Можно ли исключить 특정 пользователя из правила блокировки файлов (File Screen)?
Да, для этого создается File Screen Exception. Вы можете создать исключение на подпапку (например, D:\CompanyShare\Marketing), разрешив им сохранять видеофайлы, при этом глобальный запрет на папку CompanyShare останется в силе.
Что делать, если нужно заблокировать вирусы-шифровальщики через FSRM?
Можно использовать скрипты PowerShell (например, FSRM Anti-Ransomware), которые автоматически обновляют список известных расширений шифровальщиков в FSRM File Group. При обнаружении попытки записи такого файла FSRM может запустить скрипт, отключающий SMB-сессию зараженного ПК.
Влияет ли FSRM на производительность файлового сервера?
Да, фильтр srm.sys анализирует каждую операцию I/O. На высоконагруженных серверах (тысячи IOPS) сложные правила скрининга файлов могут повысить CPU usage и DPC Latency, но для типовых файловых шар влияние незаметно.