Вопрос или проблема
Я только что выполнил обновление Hyper-V гостя с Windows Server 2008 до Server 2012 R2 (через Server 2012, так как прямое обновление с 2008 до 2012 R2 не поддерживается). Обычно создается новая машина, и роли передаются, что является официально «предпочитаемым» вариантом Microsoft, но по организационным причинам это невозможно. Это тестовый запуск на копии оригинальной виртуальной машины, отключенной от сети.
Все выглядит нормально, кроме одного из трех дисков данных (отдельные файлы VHDX), который показывает “Доступ запрещен” при двойном щелчке для открытия диска в Проводнике Windows. Тем не менее, я могу перечислять каталоги и просматривать файлы из командной строки!
Предпринятые шаги для решения:
- Дважды проверил настройки Hyper-V гостя, они точно такие же, как на рабочем сервере
- запустил
chkdskвнутри виртуальной машины, ошибок не найдено - управление дисками показывает здоровый активный основной раздел (интересно, что это единственный диск с нераспределенным пространством в начале, возможно, это имеет значение?)
- также актуально: диск нельзя пометить как оффлайн, и он ранее был хостом для файла подкачки
- переместил файл подкачки на
C:\(теперь диск можно отключить в управлении дисками) - вывел диск из сети, затем снова в сеть
- удалил присвоение буквы диска и добавил заново
- сделал резервную копию общих папок из реестра, остановил ВМ, отключил нужный VHDX, перезагрузил, остановил, повторно подключил VHDX
- создал новый том в нераспределенном пространстве перед нужным томом на этом диске, затем удалил его
- повторно скопировал файл VHDX для этого диска с рабочего сервера, на случай если VHDX стал поврежден при оригинальном копировании
- в последний раз, я взял на себя права и изменил разрешения на диске (на эту папку, все подпапки и файлы) и применил к дочерним объектам. Все еще получаю “Доступ запрещен”, что указывает на то, что это не связано с ACL (разрешениями на файлы)
Это не влияет на другие диски, включая системный диск.
Я еще не скопировал данные на новый диск, так как хочу понять коренную причину.
Что мне попробовать дальше?
Поскольку вы используете диск данных на сервере, я предполагаю, что вы используете его как общий ресурс?
Если да, то существуют разрешения NTFS, но также и разрешения для общего доступа. Лучшей практикой является предоставление всем полных прав на уровне общего доступа, а написание вашей политики разрешений в разрешениях NTFS.
Возможно, разрешения общего доступа являются ограничительными?
У меня была такая же проблема. Быстрое решение для меня заключалось в том, чтобы добавить группу Everyone обратно для “Только эта папка” в корне диска с: Чтение и выполнение, Просмотр содержимого папки и Чтение правами (Свойства диска / безопасность / дополнительные).
В моем случае эта проблема была вызвана плохой практикой с моей стороны, так как я указал расположение файла журнала установщика SQL 2016 в корне диска, а не создал подкаталог. Установщик затем удаляет ненужные разрешения, и доступ через Проводник Windows блокируется.
UAC является виновником в этом случае.
Когда вы входите под пользователем, который принадлежит к локальной группе администраторов машины, UAC предоставляет этому пользователю два разных токена: “токен полного доступа администратора и “отфильтрованный” токен стандартного пользователя” … “Токен стандартного пользователя затем используется для запуска рабочего стола (Explorer.exe)”.
UAC изменяет ваши административные разрешения
У вас есть как минимум два варианта, чтобы справиться с этой проблемой:
- Получить доступ к ресурсу через сеть, так как UAC не применяется в этом случае.
- Создать новые группы безопасности и предоставить им доступ через разрешения NTFS.
В случае если у вас нет разрешений NTFS для этого ресурса, вы можете запустить Проводник Windows с повышенными правами,
Ответ или решение
Проблема с доступом к данным на диске в Windows Server 2012 R2 после обновления системы с Windows Server 2008 может возникнуть по нескольким причинам. Из вашего описания видно, что вы столкнулись с ошибкой "Access Denied" при попытке открыть один из дисков через проводник Windows, несмотря на то, что доступ по командной строке работает без проблем.
Диагностика проблемы
-
Права доступа: Убедитесь, что как NTFS, так и сетевые права доступа настроены правильно. Даже если вы отошли от проблем с NTFS, не забудьте проверить разрешения на уровне общего доступа (Share Permissions). Ограниченные разрешения в этом месте могут вызвать подобные ошибки.
-
UAC (Контроль учётных записей пользователей): Как вы уже отметили, UAC может влиять на доступ к ресурсам. При входе под учетной записью, принадлежащей группе локальных администраторов, Windows создает два токена доступа: один с полными правами и другой, с ограниченными правами, который используется для запуска рабочего стола. Это может привести к ситуации, когда доступ к данным через проводник блокируется, в то время как доступ через командную строку возможен.
-
Владелец и разрешения: Несмотря на изменения в разрешениях, стоит убедиться, что вы действительно являетесь владельцем этих объектов. Возможно, потребуется заново взять на себя права владения запрашиваемого диска и его содержимого.
Дополнительные шаги по устранению проблемы
-
Проверка и изменение прав доступа:
- Проверьте и при необходимости измените разрешения на уровне общего доступа. Добавьте группу Everyone и предоставьте ей необходимые разрешения.
- В свойствах папки на вкладке Безопасность проверьте, какие группы имеют доступ, и убедитесь, что у вас есть полный доступ к корневой папке диска.
-
Настройка UAC:
- Если необходимо, вы можете временно отключить UAC, чтобы понять, влияет ли он на вашу проблему. Однако помните, что это снижает уровень безопасности системы.
- Чтобы запустить проводник проводником с повышенными привилегиями, вы можете использовать команду:
runas /user:AD\Username "explorer.exe" - Это запустит проводник от имени администратора, минуя ограничения UAC.
-
Использование командной строки:
- Если доступ к данным необходим, можно использовать команду
robocopyдля копирования данных на другой носитель. Это поможет обойти проблемы с доступом к данным на текущем диске.
- Если доступ к данным необходим, можно использовать команду
-
Запуск в режиме безопасной работы:
- Попробуйте загрузить систему в безопасном режиме и проверьте, сохраняется ли проблема. Это может помочь исключить сторонние процессы или параметры конфигурации, влияющие на доступ.
-
Резервное копирование и переименование VHDX:
- Если проблема не будет решена, рассмотрите возможность создания новой виртуальной машины и подключения к ней диска в качестве второго диска, что даст вам возможность проверить доступ к данным в новых условиях.
Заключение
Проблема с доступом к диску в Windows Server 2012 R2 после обновления может быть вызвана как настройками прав доступа, так и особенностями системы, такими как UAC. Выполнение предложенных шагов по диагностике и устранению проблемы должно помочь вам восстановить доступ к данным. Применение системного подхода к выявлению и решению проблемы обеспечит вам более быстрые и эффективные результаты.