Trả lời nhanh: Nguyên tắc cốt lõi là cấp quyền cho nhóm chứ không cấp cho từng người, và cấu trúc thư mục theo phòng ban chứ không theo dự án. Bật ảnh chụp thư mục theo lịch ngay từ ngày đầu, vì đó là thứ cứu bạn khi có người xóa nhầm. Không mở thư mục chia sẻ ra Internet trong mọi trường hợp.
Thư mục chung là hệ thống mà mọi nhân viên đụng vào hằng ngày, và cũng là nơi một cấu trúc phân quyền cẩu thả từ ba năm trước trở thành mớ bòng bong không ai gỡ nổi. Bài này đưa ra cách làm đúng ngay từ đầu và cách gỡ khi đã rối.
Cấu trúc thư mục
Quyết định này khó sửa nhất, nên làm đúng ngay từ đầu.
Chia theo phòng ban, không chia theo dự án. Dự án kết thúc, phòng ban thì ở lại. Cấu trúc theo dự án dẫn tới hàng trăm thư mục gốc sau vài năm mà không ai dám xóa.
Một thư mục dùng chung cho toàn công ty, nơi để biểu mẫu, quy định, tài liệu ai cũng cần. Thư mục này chỉ vài người có quyền ghi.
Một thư mục cho mỗi phòng ban, chỉ người trong phòng đó thấy.
Thư mục cá nhân cho từng nhân viên nếu cần, hoặc dùng dịch vụ đám mây cho phần này.
Tránh lồng quá sâu. Ba tầng là đủ cho phần lớn công ty. Cấu trúc sâu làm việc phân quyền phức tạp và làm người dùng khó tìm.
Cấp quyền cho nhóm
Đây là nguyên tắc mà vi phạm nó sẽ khiến hệ thống không gỡ nổi sau hai năm.
Cách đúng gồm ba bước: tạo nhóm theo phòng ban trong danh bạ tài khoản, cấp quyền cho nhóm trên thư mục tương ứng, rồi thêm người vào nhóm.
Lợi ích thấy ngay khi có biến động nhân sự. Người mới vào phòng kế toán, bạn thêm họ vào nhóm kế toán là xong, không phải đi sửa quyền trên hàng chục thư mục. Người chuyển phòng, bạn đổi nhóm. Người nghỉ, bạn vô hiệu hóa tài khoản.
Lợi ích lớn thứ hai xuất hiện khi cần rà soát: nhìn danh sách nhóm là biết ai có quyền gì. Với cách cấp quyền cho từng người, bạn phải mở từng thư mục để xem, và thường không bao giờ có bức tranh đầy đủ.
Nên có ít nhất hai mức quyền cho mỗi thư mục: một nhóm chỉ đọc và một nhóm đọc ghi. Nhiều nơi chỉ có một mức và cho cả phòng quyền ghi, dẫn tới việc người ta sửa nhầm tài liệu của nhau.
Ảnh chụp thư mục, tính năng cứu người nhiều nhất
Nếu chỉ được bật một tính năng trên máy chủ tệp thì hãy bật cái này.
Hệ thống tự chụp trạng thái thư mục theo lịch và giữ lại nhiều bản. Khi ai đó xóa nhầm hoặc ghi đè nhầm, họ khôi phục lại phiên bản cũ trong vài phút mà không cần gọi bộ phận kỹ thuật.
Cấu hình gợi ý: chụp mỗi giờ trong giờ làm việc và giữ hai ngày, chụp mỗi ngày và giữ hai tuần, chụp mỗi tuần và giữ hai tháng. Điều chỉnh theo dung lượng có sẵn.
Ảnh chụp tốn rất ít dung lượng vì chỉ giữ phần đã thay đổi. Nhưng nhớ rằng nó nằm cùng kho với dữ liệu gốc, nên nó chống xóa nhầm chứ không chống hỏng ổ, cháy hay mã độc.
Một điểm nữa đáng nói: ảnh chụp cũng giúp một phần trước mã độc tống tiền, vì bản cũ không bị mã hóa. Nhưng chỉ khi tài khoản của người dùng không có quyền xóa ảnh chụp, nên hãy kiểm cấu hình này.
Bốn lỗi phổ biến
- Dùng quyền phủ định. Cấp quyền cho cả phòng rồi chặn riêng vài người. Nghe hợp lý nhưng làm hệ thống rất khó hiểu, và người tiếp quản sau bạn sẽ mất hàng giờ để hiểu vì sao một người không vào được thư mục. Cách sạch hơn là tổ chức lại nhóm.
- Cấp quyền toàn quyền cho nhóm mọi người. Nghe tiện nhưng nghĩa là bất cứ ai cũng xóa được bất cứ gì, kể cả mã độc chạy dưới tài khoản của họ.
- Không tách quyền quản trị. Quản trị viên nên có hai tài khoản, một để làm việc hằng ngày và một quyền cao chỉ dùng khi cần. Mã độc chạy dưới tài khoản quyền cao là kịch bản tệ nhất.
- Không đặt hạn mức dung lượng. Không có hạn mức thì một người chép cả thư viện phim vào là kho đầy và cả công ty ngừng ghi được. Đặt hạn mức theo phòng ban và bật cảnh báo khi gần chạm.
Truy cập từ xa và sao lưu
Truy cập từ xa. Không bao giờ mở cổng chia sẻ tệp ra Internet. Đây là một trong những cách bị mã độc tống tiền phổ biến nhất. Ba đường đúng: đường kết nối riêng tư về mạng công ty, dịch vụ đồng bộ có kiểm soát, hoặc chuyển hẳn phần dữ liệu cần truy cập từ xa lên một dịch vụ đám mây có phân quyền.
Sao lưu. Máy chủ tệp là nơi dữ liệu sống. Nó cần một bản sao ở nơi khác, và bản đó phải nằm ngoài tầm với của tài khoản quản trị hằng ngày. Cách làm phổ biến là đẩy bản sao lên kho đám mây bằng một tài khoản riêng chỉ có quyền ghi thêm.
Và như mọi bản sao lưu khác: chưa thử phục hồi thì chưa tính là bản sao lưu. Đặt lịch thử phục hồi vài tệp ngẫu nhiên mỗi quý.
Gỡ khi đã rối
Nếu hệ thống hiện tại đã là mớ bòng bong, đừng sửa tại chỗ. Cách hiệu quả hơn gồm năm bước.
- Kết xuất bức tranh hiện tại. Có công cụ liệt kê quyền trên toàn bộ cây thư mục ra tệp. Đây là tài liệu tham chiếu cho cả quá trình.
- Dựng cấu trúc mới sạch bên cạnh, với nhóm và quy ước đặt tên như ở trên.
- Chuyển dữ liệu theo từng phòng ban, mỗi đợt một phòng. Nhân dịp này dọn luôn những thứ không ai dùng nữa.
- Cho cấu trúc cũ về chế độ chỉ đọc trong vài tuần, để ai thiếu gì thì lấy nốt.
- Lưu trữ cấu trúc cũ rồi gỡ khỏi thư mục chia sẻ.
Cách này mất thời gian hơn nhưng cho kết quả sạch, còn sửa tại chỗ thì sau sáu tháng bạn quay lại đúng tình trạng cũ.
Bốn lỗi phân quyền phổ biến
| Lỗi | Hậu quả | Cách đúng |
|---|---|---|
| Cấp quyền trực tiếp cho từng người | Nhân viên nghỉ việc là phải rà lại từng thư mục | Cấp quyền cho nhóm, thêm bớt người trong nhóm |
| Cho nhóm mọi người quyền ghi ở thư mục gốc | Ai cũng tạo và xóa được ở mức cao nhất | Thư mục gốc chỉ đọc, quyền ghi đặt ở cấp dưới |
| Đặt quyền toàn quyền cho tiện | Người dùng đổi được cả phần phân quyền | Chỉ cấp quyền đọc ghi, giữ phần phân quyền cho quản trị |
| Không có thư mục riêng cho từng người | Tài liệu cá nhân nằm lẫn trong thư mục chung | Tạo thư mục riêng, chỉ chủ nhân và quản trị vào được |
Ba lập luận cũ đã hết đúng
Người dùng xóa nhầm tệp là chuyện xảy ra hằng tuần ở mọi công ty. Nếu phải khôi phục từ bản sao lưu thì mất thời gian của quản trị viên và người dùng phải chờ. Ảnh chụp thư mục theo lịch cho phép chính người dùng tự lấy lại phiên bản cũ trong vài giây. Đặt lịch chụp vài lần mỗi ngày cho thư mục làm việc, giữ khoảng hai tuần, và hướng dẫn người dùng cách tự khôi phục. Một buổi hướng dẫn ba mươi phút tiết kiệm hàng chục lần hỗ trợ về sau. Lưu ý: ảnh chụp nằm trên cùng thiết bị nên nó không thay thế bản sao lưu.
Gỡ khi cây quyền đã rối
# Khi da roi, dung sua lat vat tung thu muc. Lam lai co he thong. # 1. Xuat toan bo quyen hien tai ra tep de biet minh dang o dauicacls "D:\DuLieu" /save quyen-cu.txt /t# Tep nay cung la duong lui neu buoc sau co sai # 2. Ve lai cay thu muc tren giay TRUOC khi dung toi may# Moi thu muc cap mot: ai doc, ai ghi, ai khong thay # 3. Tao cac nhom quyen theo ten mo ta QUYEN, khong theo ten nguoi# vi du: ketoan-doc, ketoan-ghi # 4. Tat ke thua o cac thu muc cap mot, dat quyen moi# 5. De cac thu muc con ke thua tu cap mot, dung dat rieng tung cai # 6. Kiem thu bang tai khoan that cua tung nhom, khong kiem bang# tai khoan quan tri. Tai khoan quan tri luon vao duoc nen# khong noi len dieu gi. # Neu can quay lui:icacls "D:\DuLieu" /restore quyen-cu.txtCâu hỏi thường gặp
Nên dùng máy chủ Windows hay Linux cho việc này
Nếu công ty đã có danh bạ tài khoản Windows thì máy chủ Windows tích hợp mượt hơn hẳn về phân quyền và về ảnh chụp thư mục. Nếu không, một máy chủ Linux hoặc thiết bị lưu trữ chuyên dụng cũng làm tốt, chỉ cần nhiều công cấu hình hơn.
Bao nhiêu người thì cần máy chủ tệp riêng
Không có mốc cứng. Dấu hiệu là khi mọi người bắt đầu gửi tệp cho nhau qua thư điện tử hoặc ứng dụng nhắn tin, và không ai biết bản nào là bản mới nhất. Với công ty nhỏ, một dịch vụ đám mây có phân quyền thường tiện hơn dựng máy chủ.
Đã có dịch vụ đám mây thì còn cần máy chủ tệp không
Tùy dung lượng và tùy loại tệp. Đám mây tiện cho tài liệu văn phòng và cho làm việc từ xa. Máy chủ nội bộ vẫn hơn khi cần tốc độ mạng nội bộ để mở tệp rất lớn, hoặc khi có yêu cầu giữ dữ liệu trong nước.
Phân quyền đã rối rồi thì gỡ thế nào
Đừng sửa tại chỗ. Cách hiệu quả hơn là dựng cấu trúc mới sạch bên cạnh, tạo nhóm cho đúng, rồi chuyển dữ liệu sang theo từng phòng ban. Vừa chuyển vừa nhân dịp dọn dẹp những thứ không ai dùng nữa.
Nhân viên làm hai phòng thì xử lý thế nào
Cho họ vào cả hai nhóm. Đây chính là lý do phải cấp quyền cho nhóm chứ không cho từng người: một người thuộc nhiều nhóm là chuyện bình thường và hệ thống xử lý gọn.
Trưởng phòng đòi quyền xem thư mục phòng khác thì sao
Đừng cấp lẻ. Nếu nhu cầu là thật, hãy tạo một thư mục liên phòng cho phần cần chia sẻ, hoặc tạo một nhóm ban lãnh đạo có quyền đọc ở các thư mục nhất định. Cấp lẻ một lần là mở tiền lệ cho hàng chục lần sau.
Có nên cho nhân viên thư mục cá nhân trên máy chủ không
Tùy dung lượng và tùy chính sách. Nhiều doanh nghiệp chuyển phần này sang dịch vụ đám mây vì tiện cho làm việc từ xa và giảm tải cho máy chủ nội bộ. Nếu vẫn để trên máy chủ, nhớ đặt hạn mức dung lượng.
Kiểm tra ai đang có quyền gì bằng cách nào
Có công cụ kết xuất toàn bộ phân quyền trên cây thư mục ra tệp để rà soát. Nên làm mỗi năm một lần và mỗi khi có thay đổi tổ chức lớn. Với cấu trúc dựa trên nhóm, việc rà soát chủ yếu là xem danh sách thành viên các nhóm.