13 Новые возможности ntfs 5.0

В данном разделе последовательно и подробно рассматриваются особенности стандартной в Windows 2000 файловой системы — NTFS версии 5.0. Только эта система позволяет в полной мере использовать все возможности Windows 2000, обеспечивающие безопасность и надежность хранения данных на дисковых накопителях. Отдельно в главе 26 рассматривается Encrypting File System (EPS, Шифрующая файловая система), обеспечивающая конфиденциальность файлов. Функционирование EFS также возможно только на NTFS 5.0.

13.1 Разрешения для файлов и папок

Устанавливая пользователям определенные разрешения для файлов и каталогов (папок), администраторы системы могут защищать конфиденциальную информацию от несанкционированного доступа. Каждый пользователь должен иметь определенный набор разрешений на доступ к конкретному объекту файловой системы. Кроме того, он может быть владельцем файла или папки, если сам их создает. Администратор может назначить себя владельцем любого объекта файловой системы (файла или папки). Следует, однако, помнить, что обратная передача владения от администратора к пользователю невозможна. Администратор должен зарегистрироваться в системе под именем того пользователя, которому он хочет передать владение файлом или папкой, а затем стать владельцем нужного объекта.

Разрешения пользователя на доступ к объектам файловой системы работают по принципу дополнения (аддитивности). Это значит, что действующие разрешения, то есть те разрешения, которые пользователь реально имеет в отношении конкретного каталога или файла, образуются из всех прямых и косвенных разрешений, назначенных пользователю для данного объекта с помощью логической функции ИЛИ. Например, если пользователь имеет прямо назначенное разрешение для каталога на чтение, а косвенно через членство в группе ему дано разрешение на запись, то в результате пользователь сможет читать информацию в файлах каталога и записывать в них данные. Следует все же заметить, что правило сложения разрешений с помощью логического ИЛИ не выполняется, когда пользователь имеет определенное разрешение, а группе, в которую он входит, отказано в этом разрешении (или наоборот). В этом случае отказ в разрешении имеет более высокий приоритет над предоставлением разрешения, т. е. в результате пользователь не будет иметь данного разрешения. Появление возможности отказа пользователю или группе в разрешении для файлов и каталогов сделало ненужным разрешение No Access, применявшееся в Windows NT 4.0. Теперь для отказа пользователю в разрешении на доступ к какому-либо файлу или папке следует включить пользователя в группу, которой отказано в разрешении Полный доступ (Full Control) для данного объекта файловой системы.

13.2 Назначение разрешений для файлов

Для назначения пользователю или группе разрешения на доступ к определенному файлу:

1.	Укажите файл мышью и нажмите правую кнопку. Выберите команду Свойства (Properties) контекстного меню. В появившемся окне свойств файла перейдите на вкладку Безопасность (Security)
2.	В группе Имя (Name) показан список пользователей и групп, которым уже предоставлены разрешения Для данного файла. Для того чтобы добавить или удалить пользователей или группы, нажмите кнопку Добавить (Add) или Удалить (Remove). При добавлении пользователей появится окно диалога Выбор: Пользователи, Компьютеры, или Группы (Select Users, Computers, or Groups) (рис. 7.2).
3.	Выделите нужный объект в группе Имя и нажмите кнопки Добавить (Add) и ОК, чтобы вернуться на вкладку Безопасность.
4.	В группе Разрешения (Permissions) можно назначить или запретить стандартные разрешения для файлов — Полный доступ (Full Control), Изменить (Modify), Чтение и выполнение (Read&Execute), Чтение (Read) и Запись (Write). Для получения разрешения или отказа в разрешении служат флажки Разрешить (Allow) и Запретить (Deny). На вкладке также присутствуют кнопка Дополнительно (Advanced) и флажок Переносить наследуемые от родительского объекта разрешения на этот объект (Allow inheritable permissions from parent to propagate to this object).

Каждое из перечисленных выше стандартных разрешений состоит из набора более специальных (особых) разрешений, задающих возможность выполнения того или иного конкретного действия с файлами или каталогами.

13.3 Назначение разрешений для папок

Для назначения разрешения на доступ к каталогу (папке) пользователю или группе:

1.	Укажите каталог и нажмите правую кнопку мыши. Выберите команду Свойства контекстного меню. В появившемся окне свойств каталога перейдите на вкладку Безопасность
2.	Как и в случае установки разрешений для файлов, предоставление и удаление разрешений пользователям и группам выполняется с помощью кнопок Добавить и Удалить. Список стандартных разрешений в группе Разрешения для каталога несколько отличается от набора разрешений для файла. Кроме того, нужно помнить, что разрешения для каталогов распространяются на находящиеся в них файлы.
3.	В группе Разрешения можно назначить или запретить стандартные разрешения для каталогов, аналогичные разрешениям для файлов (см. предыдущий раздел), а также разрешение Список содержимого папки (List Folder Contents). По умолчанию подкаталоги наследуют разрешения пользователя к родительскому каталогу. Если наследование разрешений необходимо запретить, снимите флажок Переносить наследуемые от'родительского объекта разрешения на этот объект в окне свойств папки.
4.	Каждое из стандартных разрешений состоит из набора специальных (особых) разрешений

13.4 Квоты дискового пространства

Администрирование больших компьютерных сетей, где серверы поддерживают работу сотен пользователей, сопряжено с рядом сложностей. Одна из них — учет дискового пространства сервера, занятого файлами сотрудников компании. Как правило, пользователи, хранящие свои файлы на сервере, мало заботятся об актуальности информации и об уничтожении устаревших или ненужных данных. Множество временных файлов и копий' одного и того же файла, находящиеся в различных папках, лишь усугубляют ситуацию. В результате в считанные месяцы даже на больших жестких дисках сервера может не оказаться необходимого для работы свободного пространства.

Как правило, в больших организациях дерево папок весьма разветвлено, поэтому визуальный контроль расходования дискового пространства пользователями отнимает у администраторов много времени и усилий.

Подобная проблема просто решается с помощью введения квот на дисковое пространство, доступное для работы каждому пользователю. В предыдущих версиях операционной системы Windows NT не было штатных возможностей ввести квоту на доступное дисковое пространство, поэтому любой пользователь мог распоряжаться всем пространством жестких дисков сервера. В Windows 2000 администратор может квотировать дисковое пространство по каждому тому и для каждого пользователя.

Windows 2000 учитывает пространство, занимаемое файлами, владельцем которых является контролируемый пользователь: если пользователь владеет файлом, размер последнего добавляется к общей сумме занимаемого пользователем дискового пространства. Важно отметить, что, поскольку квотирование выполняется по каждому тому, не имеет значения, находятся ли тома на одном физическом жестком диске или на различных устройствах. После установки квот дискового пространства пользователь сможет хранить на томе ограниченный объем данных, в то время как на этом томе может оставаться свободное пространство. Если пользователь превышает выданную ему квоту, в журнал событий вносится соответствующая запись. Затем, в зависимости от конфигурации системы, пользователь либо сможет записать информацию на том (более мягкий режим), либо ему будет отказано в записи из-за отсутствия свободного пространства.

Устанавливать и просматривать квоты на диске можно только в разделе с NTFS 5.0 и при наличии необходимых полномочий (задаваемых с помощью локальных или доменных групповых политик) у пользователя, устанавливающего квоты.

Для установки квоты:

1.

Укажите мышью конфигурируемый том и нажмите правую кнопку мыши. В появившемся контекстном меню выберите команду Свойства. Появится окно свойств тома. Перейдите в нем на вкладку Квота (Quota)

2.

Установив флажок Включать управление квотами (Enable quota managment) вы включите квотирование конфигурируемого тома. В этом случае будет установлен мягкий режим контроля используемого дискового пространства Если вы хотите задать более жесткий режим, при котором пользователю в случае превышения квоты будет отказано в доступе к тому установите флажок Не выделять место на диске при превышении квота (Deny disk space to users exceeding quota limit). На этой же вкладке можно установить размер выделяемой квоты (Выделять на диске не более (Limit disk space to)) и порог, превышение которого вызывает запись предупреждения в журнал событий (Порог выдачи предупреждений (Set warning level to)). Эти параметры устанавливаются по умолчанию для всех пользователей.

Чтобы узнать какие пользователи превысили выделенную им квоту (в мягком режиме), нажмите кнопку Записи квот (Quota Entries). Появится окно Записей квот, где будет отображен список пользователей с параметрами их квот и объемом используемого ими дискового пространства. Учетные записи пользователей, которые превысили установленную для них квоту, отмечены специальным значком в столбце Состояние (Status).

13.5 Передача права владения

В предыдущих версиях Windows NT право владения файлом или папкой являлось характеристикой, жестко привязанной к создателю данного объекта. Пользователь, создавший файл или папку, становился владельцем этого объекта. Право владения не могло быть передано другому пользователю. Единственное исключение составлял администратор, который мог стать владельцем файла или папки. Сам пользователь не мог передать право владения папкой или файлом другому пользователю.

Операционная система Windows 2000 обеспечивает более гибкое пользование таким средством обеспечения безопасности информации, как право владения объектом файловой системы. Теперь любой пользователь может назначить себя владельцем какого-либо объекта файловой системы. Естественно, что для этого он должен иметь необходимые разрешения. Кроме того, с помощью локальных или доменных групповых политик можно указывать, какие пользователи всегда могут становиться владельцами файлов или других объектов (по умолчанию такое право имеют только администраторы), при этом они могут даже не иметь никаких разрешений для этого объекта.

Для передачи владения объектом файловой системы или для просмотра текущего владельца файла или папки откройте соответствующее окно свойств, перейдите на вкладку Безопасность, затем нажмите кнопку Дополнительно. Появится окно Параметры управления доступом. Перейдите на вкладку Владелец (Owner) этого окна. Текущий владелец объекта виден в поле Текущий владелец этого элемента (Current owner of this item). В списке Изменить владельца на (Change owner to) можно просмотреть учетные записи, обладающие правом получения во

владение данного объекта файловой системы. Выделите учетную запись пользователя, которому вы хотите передать право владения и нажмите кнопки Применить (Apply) и ОК.

13.6 Точки соединения NTFS

Точки соединения NTFS (junction point) представляют собой новое средство, позволяющее отображать целевую папку в пустую папку, находящуюся в пространстве имен файловой системы NTFS 5.0 локального компьютера. Целевой папкой может служить любой допустимый путь Windows 2000. Точки соединения NTFS поддерживаются только в NTFS 5.O.

Точки соединения NTFS отличаются от точек соединения распределенной файловой системы DPS (DFS подробно рассматривается в главе 9). Последние отображают общий ресурс сети, управляемый DFS. Таким ресурсом может служить любой допустимый общий ресурс сети. Однако оба средства служат для создания общего пространства имен хранения информации.

Точки соединения NTFS прозрачны для приложений. Исключение составляет случай, когда информация об определенной точке соединения необходима программе для работы. Прозрачность в данном случае означает, что приложение или пользователь, осуществляющий доступ к локальной папке NTFS, автоматически перенаправляются к другой папке.

Доступ к локальным томам файловой системы, подключенным с помощью точки соединения, может быть получая даже в случае, если томам не присвоены имена. При этом исчезает ограничение на количество имен, равное 26 (по числу букв английского алфавита).

13.7 Сравнение точек соединения DFS и NTFS

По своему назначению точки соединения (link) распределенной файловой системы (DFS) и точки соединения NTFS похожи. Они представляют собой инструмент, предназначенный для отображения одного пространства имен хранения данных на другое. Ниже описаны отличия точек соединения DFS и NTFS. В DFS точки соединения имеют более широкий набор функций, чем в NTFS. (Подробно файловая система DFS описывается в главе 9, но, тем не менее, некоторые ее возможности можно рассмотреть в этом разделе.)

Точки соединения DFS:

	Позволяют сбалансировать нагрузку при передаче информации по сетевым соединениям путем перенаправления запросов целевым репликам.
	Позволяют избежать отрицательных последствий отказа сетевого соединения, заново выбрав копию общего ресурса из набора целевых реплик.
	Запрашивают у службы Active Directory информацию о топологии соединения.
	Располагают полным набором функций, позволяющих осуществлять импорт и экспорт для пространства имен DFS.

В табл. 7.10 перечислены различия точек перехода DFS и NTFS.

Таблица 7.10. Различия точек соединения DFS и NTFS

Свойство	Точки соединения DFS	Точки соединения NTFS
Исходный объект точки соединения	Общий локальный ресурс сети	Локальная папка NTFS 5.0
Представление точки соединения	Том DFS, общий сетевой ресурс	Любой допустимый путь Windews 2000
Возможность восстановления	Да	Да (Chkdsk)
Состояние неизменности/переноса	Да (хранится в виде файла)	Да (прямая операция копирования, переноса или архивирования)
Возможность работы с набором целей	Да	Нет
Поддержка кластеров	Да	Нет
API	Да	Да
Наличие инструментов с графическим интерфейсом	Да (оснастка Распределенная файловая система DFS)	Да (оснастка Управление дисками)
Доступность	В NT 4.0 и выше	Только в Windows 2000 на NTFS 5.0

13.8 Дефрагментация диска

Операционная система не всегда располагает информацию файлов и папок в одном непрерывном пространстве. Фрагменты данных могут находиться в различных кластерах жесткого диска. В результате при удалении файлов освобождающееся дисковое пространство также становится фрагментированным. Чем выше степень фрагментации жесткого диска, тем ниже производительность файловой системы.

Для решения этой проблемы в состав операционной системы Windows 2000 включена оснастка Дефрагментация диска (Disk Defragmenter). В процессе дефрагментации кластеры диска организуются таким образом, чтобы файлы, папки и свободное пространство по возможности располагались непрерывно. В результате значительно повышается производительность файловой системы, поскольку сокращается количество операций ввода/вывода, необходимое для чтения определенного объема информации. Следует отметить, что при дефрагментации свободное пространство не объединяется в одну непрерывную область, а располагается в нескольких областях. Это значительно сокращает время выполнения дефрагментации и практически не уменьшает производительность файловой системы, получаемую после дефрагментации.

Поскольку операционная система Windows 2000 резервирует в начале жесткого диска пространство для системных файлов, оснастка Дефрагментация диска не помещает файлы в зарезервированную область жесткого диска, а переносит их за ее пределы.

Оснастка Дефрагментация диска работает с томами жесткого диска, сформатированными для файловых систем FAT, FAT32 и NTFS. Она осуществляет выполнение двух отдельных операций — анализ и дефрагментацию. В процессе анализа на томе жесткого диска не выполняются никакие изменения. Все необходимые перемещения информации производятся при дефрагментации. В определенный момент времени дефрагментации может быть подвергнут только один том.

Для запуска оснастки Дефрагментация диска:

1.	В окне Мой компьютер или Проводник укажите дефрагментируемый том и нажмите правую кнопку мыши.
2.	В открывшемся контекстном меню выберите команду Свойства.
3.	Появится окно свойств тома. Перейдите на вкладку Сервис (Tools).
4.	В открывшемся окне нажмите кнопку Выполнить дефрагментацию (Defragment Now).

В результате запустится оснастка Дефрагментация диска. В верхней части ее окна находится список томов жесткого диска, которые можно проанализировать или дефрагментировать. В нижней части окна находятся указатели, отображающие скорость и степень завершенности процессов анализа или дефрагментации. Цветами показано состояние устройства:

	Красным — фрагментированные области.
	Темно-синим — нефрагментированные области.
	Белым — свободное пространство тома.
	Зеленым — системные файлы, которые не могут быть перемещены оснасткой Дефрагментация диска, поскольку являются частью операционной системы Windows 2000. Зеленым цветом области выделяются только на томах NTFS.

Для выполнения анализа жесткого диска:

В окне оснастки Дефрагментация диска выделите анализируемое устройство и нажмите кнопку Анализ (Analyze). После завершения анализа появится окно диалога, запрашивающее необходимость выполнения дефрагментации. Остановить или прервать процесс анализа можно с помощью кнопок Пауза (Pause) и Остановка (Stop), соответственно.

Для выполнения дефрагментации жесткого диска:

В окне оснастки Дефрагментация диска выделите дефрагментируемый диск и нажмите кнопку Дефрагментация (Defragment). Сначала выполнится анализ тома, затем начнется собственно Дефрагментация. Остановить или прервать процесс дефрагментации можно с помощью кнопок Пауза и Остановка, соответственно.

13.9 Потоки

С самой первой версии NTFS позволяла одному файлу иметь несколько потоков. К сожалению, этот весьма удобный механизм использовался очень слабо, хотя применение потоков позволяет изящно решать многие проблемы.

Например, вы создаете файл. Для него необходимо сформировать и сохранить эскиз (уменьшенное изображение содержимого файла, предназначенное для предварительного просмотра) (thumbnail), который, как правило, записывается в конец файла. Для вывода эскиза надо открыть файл, считать информацию заголовка, найти начало нужной вам информации и только после этого считать данные. Можно хранить эскиз в отдельном файле, но в этом случае велика вероятность того, что сам файл будет перенесен в другое место без соответствующего ему эскиза.

Подобную проблему можно решить с использованием нескольких потоков. При создании файла основные данные следует записать в неименованный поток. Затем необходимо создать внутри того же файла именованный поток, предназначенный для данных образа. Теперь один файл будет содержать два потока.

Проведем следующий эксперимент. На машине Windows 2000 откроем окно командной строки. Перейдем в раздел NTFS и введем следующую команду:

C:\fonts> DIR > New_Stream.TXT: New_Stream

В результате выполнения этой команды система создаст файл New_Stream.TXT. Он будет содержать два потока: неименованный, в котором находится О байт, и именованный (с именем New_Stream), где будет находиться результат выполнения команды dir. Доступ к именованному потоку можно получить, обратившись к нему по имени через двоеточие после имени файла. В именах потоков, как и в именах файлов, имеет значение регистр символов.

К сожалению, многие утилиты, входящие в состав Windows 2000, не могут работать с именованными потоками. Рассмотрим следующий пример:

C:\fonts> DIR New_Stream.TXT

Volume in drive С is diskl Volume Serial Number is 5021-EFE6

Directory of C:\fonts

03/18/98 08:36a 0 New_Stream.TXT

1 File(s) 0 bytes

0 Dir(s) 170 968 064 bytes free

Очевидно, что команда dir не видит именованный поток, поэтому она показывает, что размер файла New_Stream.TXT равен 0. Однако это не так: dir показывает только неименованный поток. Размер именованного потока пользователю не показывается.

Проведем еще один эксперимент:

C:\fonts> DIR New_Stream.TXT:New_Stream

Volume in drive С is diskl Volume Serial Number is 5021-EFE6

Directory of C:\fonts File not found

Из этого эксперимента видно, что команда dir не обладает средствами обращения к именованным потокам. Для просмотра содержимого именованного потока выполните следующую команду:

C:\fonts> MORE < New_Stream.TXT: Nfcw_Sream

MTSORTS TTF 76 920 11.03.97 17:20 MTSORTS.TTF

MARIGOLD TTF 101 448 09.05.97 9:12 MARIGOLD.TTF

HPFONTS TER 648 868 09.06.97 14:02 HPFONTS.TER

HP7UP DLL 58 176 30.07.97 14:28 HP7UP.DLL

HPFONTS EDB 541 085 09.06.97 14:08 HPFONTS.EDB

FONTSMRT HLP 22 552 03.04.97 15:18 FONTSMRT.HLP

CORONET TTF 82 928 09.05.97 9:12 CORONET.TTF

CORSIVA TTF 105 156 11.03.97 17:20 CORSIVA.TTF

FONTSMRT EXE 817 984 30.07.97 14:30 FONTSMRT.EXE

Существует еще одно применение потоков. Предположим, что вы разрабатываете текстовый процессор. Корректируя файл, вы наверняка создадите временный файл, запишете туда все изменения, затем, когда наступит момент сохранить их, уничтожите оригинальный файл, его имя присвоите временному файлу и перенесете этот файл туда, где был расположен оригинальный файл. Весь процесс выглядит довольно просто. Однако следует помнить о том, что новый файл должен иметь то же время создания (time stamp creation), что и оригинальный файл. Кроме того, новый файл должен обладать теми же атрибутами, что и оригинальный файл. При сохранении изменений очень легко изменить один из атрибутов.

При использовании потоков все эти проблемы легко разрешаются. Все потоки в пределах одного файла имеют одни и те же атрибуты (время создания, безопасность и т. д.). Можно записывать изменения не во временный файл, а в именованный поток. Затем, при записи изменений достаточно переименовать именованный поток в неименованный, после чего с помощью средств NTFS удалить старый неименованный поток. Переименование потока должно быть выполнено в соответствии с принципом "все или ничего" (в виде транзакции — либо выполняются все операции, либо все остается в исходном состоянии).

Следует отметить, что при копировании файла, содержащего потоки, в файловую систему, не поддерживающую их (например, FAT на гибком диске), скопированы будут только данные неименованного потока.

13.10 Связи. Жесткие связи NTFS

Предположим, что у вас есть файл, который должен находиться одновременно во многих папках одного дерева. Каждая из копий этого файла занимает определенное место, что приводит к непроизводительному использованию дискового пространства. Кроме того, следует учитывать, что в одной из копий может быть сделано изменение. В этом случае необходимо обновить все копии файла, что может вылиться в долгую и утомительную операцию, в течение которой легко сделать ошибку.

Эту проблему можно решить с помощью жесткой связи NTFS. Она позволяет в пределах одного тома создать для одного файла множество имен. Сам файл может находиться в одном месте. Жесткие связи могут быть распространены по всему дереву папки. На данный момент в состав операционной системы Windows 2000 не входит инструмент, позволяющий пользователям создавать жесткие связи. Это можно сделать только программно, воспользовавшись функцией CreateHardLink из Kernel32.DLL.

Все жесткие связи находятся в одной записи MFT. Поэтому они имеют одинаковые атрибуты (время создания, безопасность и размер файла). При создании новой жесткой связи система добавляет информацию в поле имени записи MFT и увеличивает счетчик жестких связей. При каждом уничтожении жесткой связи удаляется соответствующий атрибут в поле имени, а счетчик жестких связей уменьшается на 1. После уничтожения последней жесткой связи счетчик жестких связей становится равен 0.