Как подключить сетевой диск из другого домена
В командной строке NET USE используется для подключения и отключения от общих сетевых ресурсов (дисков) и для вывода сведений о текущих подключениях. Когда команда используется без параметров, выводится список всех подключений данного компьютера. От себя хочу отметить, что команду Net use можно использовать и при работе с Windows 10.
Syntax
Синтаксис команды NET USE
Для отображения справки для указанной команды net следует ввести команду net help use.
- net use [<имя_устройства|*>] [\\имя_компьютера\ресурс[\том]] [<пароль|*>]] [/user:[имя_домена\]] [/user:[имя_домена_с_точкой\]имя_пользователя] [/user: [имя_пользователя@имя_домена_с_точкой] [/savecred] [/smartcard] [>]
- net use [имя_устройства [/home[<пароль|*>] [/delete:
]] - net use [/persistent:
], где
- Имя_устройства - задает имя ресурса при подключении или имя устройства при отключении. Существует два вида имен устройств: имена для дисковых устройств (то есть, диски с буквенными обозначениями от D: до Z:) и для принтеров (соответственно, от LPT1: до LPT3:). Ввод звездочки (*) вместо имени определенного устройства обеспечит присвоение такому устройству ближайшего доступного имени.
- \\имя_компьютера\имя_ресурса - указывает имя сервера и общего ресурса. Если параметр «имя_компьютера» содержит пробелы, все имя компьютера от двойной обратной черты (\\) до конца (например, "\\Computer Name\Share Name") должно быть заключено в прямые кавычки ("). Имя компьютера может иметь длину от 1 до 15 знаков.
- \том - задает имя тома системы NetWare. Для подключения к серверам Netware необходимо установить и запустить клиент для сетей NetWare.
- Пароль - задает пароль, необходимый для подключения к общему ресурсу. Введите звездочку (*) для вывода приглашения на ввод пароля. При вводе с клавиатуры символы пароля не выводятся на экран.
- /user - задает другое имя пользователя для подключения к общему ресурсу.
- имя_домена - задает имя другого домена. Пропуск параметра «имя_домена» приводит к тому, что команда net use использует имя домена, заданное при входе в систему.
- имя_пользователя - указывает имя пользователя для подключения.
- имя_домена _с_точкой - указывает полное имя домена, в котором присутствует учетная запись пользователя.
- /savecred - сохраняет введенные учётные данные для дальнейшего использования.
- /smartcard - указывает необходимость считывания учетных данных со смарт-карты для сетевого подключения. При наличии нескольких смарт-карт появится запрос на указание одной из них.
- /delete - отменяет указанное сетевое подключение. Если подключение задано с символом звездочки (*), будут отменены все сетевые подключения.
- /persistent: - управляет постоянными сетевыми подключениями. По умолчанию берется последнее использованное значение. Подключения без устройства не являются постоянными. Выбор значения Yes приводит к сохранению всех существующих соединений и восстановлению их при следующем подключении. При выборе значения No выполняемые и последующие подключения не сохраняются. Существующие подключения восстанавливаются при следующем входе в систему. Для удаления постоянных подключений используется ключ /delete.
- /home - подключает пользователя к его основному каталогу.
Как видите, синтаксис команды довольно таки длинный, однако следует отметить, что на практике используются не все ее параметры.
Подключенные сетевые диски не отображаются в приложении
Проверим, что при включенном UAC вы не можете из привилегированного приложения получить доступ к подключенному в обычном режиме сетевому диску.
Например, откроем командную строку с правами пользователя и проверим что мы можем получить доступ к содержимому подключенного сетевого диска Z:\.
Команда вывела содержимое сетевой папки.
Такое поведение системы может вызывать ряд неудобств при частом запуске приложений в привилегированном режиме. Можно запускать приложения без прав администратора, но это не всегда применимо.
Почему это происходит? Данная особенность связана с механизмом работы UAC для пользователя с правами локального администратора. Дело в том, что при входе такого пользователя в систему создаются два маркера доступа: один маркер доступа с отключенными правами администратора (маркер фильтрованного доступа – из-под которого запускаются большинство программ) и маркер полноценного администратора, обладающего полными правами в системе (в этом контексте выполняются все программы, получившие подтверждение на повышение прав в UAC).
Если с помощью команды whoami /all сравнить текущие привилегии одного и того же пользователя в двух сессиях cmd.exe (обычной и привилегированной), можно увидеть, что они сильно отличаются. В следующей таблице перечислены отличия в группах и текущих полномочиях в каждой сессии.
При включенном UAC приложения под одним и тем же пользователем могут запускаться в двух контекстах (привилегированном и непривилегированном). При подключении общих сетевых папок, система создает символические ссылки (DosDevices), в которых хранится сопоставление буквы диска и UNC пути. Эти ссылки ассоциируются с текущим сеансом для текущего маркера доступа процесса и недоступны из-под другого маркера.
Соответственно, может иметь место и обратная проблема: если пользователь обладает правами администратора на своем компьютере, то при подключении сетевых дисков через логон-скрипты групповых политик, задания планировщика или SCCM (которые запускаются с повышенными привилегиями), эти диски не видны пользователю в проводнике Windows (непривилегированный процесс).
В качестве обходного решения можно порекомендовать подключать сетевые диски из командой строки, запущенной с правами администратора (через net use или rundll32 SHELL32.dll,SHHelpShortcuts_RunDLL Connect ). Но это решение не всегда применимо, и не очень удобно.
Parameters
Assigns a name to connect to the resource or specifies the device to be disconnected. There are two kinds of device names: disk drives (that is, D: through Z:) and printers (that is, LPT1: through LPT3:). Type an asterisk (*) instead of a specific device name to assign the next available device name.
Specifies the name of the server and the shared resource. If ComputerName contains spaces, use quotation marks around the entire computer name from the double backslash (\\) to the end of the computer name (for example, "\\Computer Name\Share Name"). The computer name can be from 1 to 15 characters long.
Specifies a NetWare volume on the server. You must have Client Service for NetWare or Gateway Service for Netware (Windows Server) installed and running to connect to NetWare servers.
Specifies the password needed to access the shared resource. Type an asterisk (*) to produce a prompt for the password. The password is not displayed when you type it at the password prompt.
Specifies a different user name with which the connection is made.
Specifies another domain. If you omit DomainName, net use uses the current logged on domain.
Specifies the user name with which to log on.
Specifies the fully qualified domain name for the domain where the user account exists.
Stores the provided credentials for reuse.
Specifies the network connection is to use the credentials on a smart card. If multiple smart cards are available, you are asked to specify the credential.
Cancels the specified network connection. If you specify the connection with an asterisk (*), all network connections are canceled.
Controls the use of persistent network connections. The default is the setting used last. Deviceless connections are not persistent. Yes saves all connections as they are made, and restores them at next logon. No does not save the connection being made or subsequent connections. Existing connections are restored at the next logon. Use /delete to remove persistent connections.
Connects a user to the home directory.
Displays help for the specified net command.
Enablelinkedconnections: разрешить доступ к сетевым дискам из программ, запущенных с правами администратора
Есть более простое решение. Для его реализации нужно внести следующие изменения в реестр:
Совет. То же самое можно сделать одной командой:
New-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name EnableLinkedConnections -Value 1 -PropertyType 'DWord'
В обратную сторону это тоже работает: все сетевые диски, подключенные в контексте привилегированной сессии, будут доступны и в обычной сессии.
Совет. К сожалению, в групповых политиках отсутствует возможность включения параметра EnableLinkedConnections, поэтому для применения этих настроек на компьютеры домена придется распространить параметр реестра через GPP.
Как это работает. После включения параметра реестра EnableLinkedConnections, служба LanmanWorkstation и LSA будут проверять наличие второго маркера доступа, связанного с сессией текущего пользователя. Если такой маркер доступа обнаружен, список подключенных сетевых дисков копируется из одного маркера в другой. Таким образом сетевые диски, подключенные в привилегированном режиме, будут видны в обычном и наоборот.
Совет. В качестве альтернативного решения можно предложить создать символическую ссылку на целевой сетевой каталог. Например, так
mklink /D c:\docs \\msk-fs1\docs
Доступ к данному каталогу будет возможен и в обычном и в привилегированном режиме. Из недостатков метода, отметим, что доступ на общую папку выполняется с полномочиями текущего пользователя. Нельзя, как в случае с net use, использовать учетную запись другого пользователя.
После включения параметра EnableLinkedConnections сетевые диски также станут доступны из заданий планировщика, запущенных из-под текущего пользователя. Если задание запускается от имени LocalSystem или другого пользователя, сетевые диски текущего пользователя, естественно, будут недоступны.
Examples
To assign the disk-drive device name E: to the Letters shared directory on the \\Financial server, type:
To assign (map) the disk-drive device name M: to the directory User2 within the Letters volume on the \\Financial server, type:
To connect the user identifier User1 as if the connection were made from the Accounts domain, type:
To disconnect from the \\Financial\Public directory, type:
To connect to the resource memos shared on the \\Financial 2 server, type:
To restore the current connections at each logon, regardless of future changes, type:
14.07.2020
itpro
Active Directory, Windows 10, Windows Server 2016, Групповые политики
комментариев 26
Вы можете использовать групповые политики для гибкого подключения сетевых папок с файловых серверов в виде отдельных сетевых дисков Windows. Исторически для подключения сетевых дисков использовались логон bat скрипты с командой net use U: \\server1\share . Однако групповые политики намного гибче, отрабатывают быстрее и обновляются в фоновом режиме (не нужно выполнять перезагрузку или логоф пользователя для подключения сетевых дисков через GPO).
В этой статье мы покажем, как использовать GPO для подключения сетевых дисков в Windows: рассмотрим подключение общей сетевой папки отдела на основе групп безопасности AD и персональных сетевых дисков пользователей на сетевом хранилище.
Создайте в Active Directory новую группу для отдела менеджеров и добавьте в нее учетные записи сотрудников. Можно создать и наполнить группу из графической консоли ADUC или воспользоваться командлетами PowerShell для управления группами AD (входят в модуль AD PowerShell):
New-ADGroup "SPB-managers" -path 'OU=Groups,OU=SPB,dc=test,DC=com' -GroupScope Global -PassThru –Verbose
Add-AdGroupMember -Identity SPB-managers -Members a.novak, r.radojic, a.petrov, n.pavlov
Для создание автоматически наполняющихся групп AD можно использовать скрипт из статьи Динамические группы в Active Directory.
Предположим, у вас есть файловый сервер, на котором хранятся общие сетевые каталоги департаментов. UNC путь к общему рабочему каталогу менеджеров, который нужно подключить всем сотрудникам отдела — \\server1\share\managers .
Теперь нужно создать GPO для подключения данного сетевого каталога в виде диска.
- Action: Update (этот режим используется чаше всего);
- Location: UNC путь к каталогу, который нужно подключить;
- Label as: метка диска;
- Reconnect: сделать сетевой диск постоянным (будет переподключаться каждый раз при входе, даже если вы удалите политику – аналог параметра /persistent в net use);
- Drive Letter – назначить букву диска;
- Connect as: опция сейчас не доступна, т.к. Microsoft запретила сохранять пароли в Group Policy Preferences.
Если подключенные сетевые диски не доступны из программ, запущенных с правами администратора, нужно использовать специальный параметр реестра EnableLinkedConnections (его можно распространить через GPO).
Создадим еще одно правило политики, которое подключает персональные сетевые каталоги пользователей в виде сетевых дисков. Допустим, у вас есть файловый сервер, на котором хранятся личные папки пользователей (на каждую папку назначены индивидуальные NTFS разрешения, чтобы пользователи не могли получить доступ к чужим данным). Вы хотите, чтобы эти каталоги автоматически подключались в сеанс пользователя в виде сетевых дисков.
Создайте для каждого пользователя отдельный каталог, соответствующий его имени в AD ( sAMAccountName ) и назначьте нужные NTFS права.
Создайте еще одно правило подключения дисков в той же самой GPO.
В настройках политики укажите путь к сетевому каталогу с личными папками пользователей в виде \\server1\share\home\%LogonUser% . В качестве метки диска я указал %LogonUser% - Personal .
Полный список переменных окружения, которые можно использовать в GPP можно вывести, нажав клавишу F3.
Сохраните изменения и обновите политики на компьютерах пользователей командой:
Теперь у пользователей должны подключиться новые сетевые диски — персональные каталоги с файлового сервера. Пользователи смогут использовать их для хранения личных данных. Такой сетевой диск будет подключаться на любом компьютере, на который выполнил вход пользователь.
В Windows 10 1809 была проблема с подключением сетевых дисков, для исправления нужно установить специальный патч.
Таким образом в одной GPO вы можете создать множество отдельных параметров с различными условиями подключения сетевых дисков пользователям.
Для выборки различных критериев компьютеров или пользователей при подключении дисков используется функционал таргетинга GPP (в основе лежат wmi фильтры).
20.04.2021
itpro
Windows 10, Windows Server 2016
комментариев 12
Если вы используете подключенные сетевые диски на рабочих станциях, вероятно вы заметили, что они не доступны в программах, запущенных с правами администратора (в том числе в cmd и PowerShell). Это связано с функционалом User Account Control (UAC). Включенный UAC с настройками по-умолчанию не позволяет получить доступ к подключенным (через net use) сетевым дискам из приложений, запущенных в привилегированном режиме (Run As Administrator). Это означает, что при запуске командной строки или файлового менеджера (того же, Total Commander) с повышенными правами, в них будут не видны буквы дисков смонтированных сетевых папок.
Проблема наблюдается, если выполняются следующие условия
-
В сессию пользователя подключены сетевые диски (через GPO или вручную через net use );
В этом случае сетевые диски отображаются в проводнике Windows и в программах, но недоступны в любых приложениях, запуженные в привелигированном режиме.
В этой заметке мы покажем, как в Windows 10 разрешить доступ к сетевым дискам из приложений, работающих в привилегированном режиме (запущенных от имени администратора). Проблема проявляется как для сетевых дисков, подключенных через групповые политики, так и для папок подключенных пользователей самостоятельно.
Важно. Настоятельно не рекомендуется совсем отключать UAC на компьютере, даже для одного конкретного приложения.
Remarks
Connecting and disconnecting from a network resource
Use net use to connect to and disconnect from a network resource, and to view your current connections to network resources. You cannot disconnect from a shared directory if you use it as your current drive or an active process is using it.
Viewing connection information
To view information about a connection, you can do either of the following:
Type net use DeviceName to get information about a specific connection.
Type net use to get a list of all the computer's connections.
Using deviceless connections
Deviceless connections are not persistent.
Connecting to NetWare servers
After you install and run Client Service for NetWare, you can connect to a NetWare server on a Novell network. Use the same syntax that you use to connect to a Windows Networking server, except you must include the volume you to which you want to connect.
Using quotation marks
If the ServerName that you supply contains spaces, use quotation marks around the text (that is, "Server Name"). If you omit quotation marks, an error message appears.
Примеры команды NET USE
Таким образом, команда NET USE подключает или отключает компьютер от общего ресурса. Хотя у команды NET USE довольно обширный синтаксис в реальной жизни используются не все ее параметры. Попробуем разобраться в работе этой популярной команды и привести реальные примеры, которые пригодятся в работе.
Сегодня я хотел бы с вами поделиться информацией как можно достаточно легко и быстро с помощью технологии Group Policy Preferences (GPP) (Она доступна с Windows Server 2008) создавать и мапить пользовательские личные папки на сервере.
- Создание и настройка прав на корневую папку в которой будут храниться папки пользователей
- Создание папки для пользователя
- Мапинг сетевого диска для пользователей
Первым делом, нам необходимо создать папку в которой будут храниться все папки пользователя.
Для нее необходимо установить следующие настройки безопасности:
Sharing доступ:
Autentication User — Full Control
NTFS доступ:
SYSTEM = Full Control
CREATOR OWNER = Full Control
Domain Administrtors = Full Control
Authenticaton Users = только эти атрибутыTraverse folder; Create folder; Write attributes; Write extended attributes; Read permissions; Change permissions
В итоге должно получится как указано на рисунках приведенных ниже
Для того, чтобы создать папки для пользователей в директории Users, мы переходим во вкладку
«User Configuration» — «Preferences — »Windows Settings" – «Folders» и в ней мы создаем папку %Logonuser% как указано на рисунке ниже.
Создадим групповою политику для пользователя и в разделе «User Configuration» — «Preferences» — «Windows Settings» — Drive Maps" создадим новый сетевой диск и дадим ему имя, например HomeFolder
Connects a computer to or disconnects a computer from a shared resource, or displays information about computer connections. The command also controls persistent net connections. Used without parameters, net use retrieves a list of network connections.
For examples of how this command can be used, see Examples.
Читайте также: