Theo mặc định, khi người dùng cố gắng truy cập thư mục chia sẻ mạng trên máy chủ đã tham gia miền Active Directory từ máy tính nhóm làm việc, lời nhắc nhập thông tin đăng nhập tài khoản miền xuất hiện. Hãy xem cách bật truy cập không xác thực (ẩn danh) vào thư mục chia sẻ hoặc máy in trên máy chủ miền từ máy tính nhóm làm việc trong Windows 10 / Windows Server 2016.
Từ góc độ bảo mật, không khuyến khích bật truy cập mạng ẩn danh cho tài khoản guest. Hơn nữa, bạn không bao giờ nên làm điều đó trên Bộ điều khiển miền AD. Vì vậy, trước khi bật truy cập ẩn danh, hãy thử sử dụng cách đúng hơn – thêm máy tính nhóm làm việc vào miền của bạn hoặc tạo tài khoản miền cho tất cả người dùng trong nhóm làm việc.
Chính sách nhóm cục bộ truy cập ẩn danh
Mở Trình chỉnh sửa Chính sách nhóm cục bộ (gpedit.msc) trên máy chủ/máy tính mà bạn muốn bật truy cập ẩn danh.
Đi đến phần GPO sau: Computer Configuration -> Windows Settings -> Security Settings -> Local Policies -> Security Options. Cấu hình các chính sách sau:
- Accounts: Guest Account Status: Enabled
- Network access: Let Everyone permissions apply to anonymous users: Enabled
- Network access: Do not allow anonymous enumeration of SAM accounts and shares: Disabled
Vì lý do bảo mật, hãy đảm bảo tài khoản Guest được chỉ định trong chính sách Deny log on locally dưới Local Policies -> User Rights Assignment.
Sau đó đảm bảo Guest cũng được chỉ định trong chính sách Access this computer from network trong cùng phần, và chính sách Deny access to this computer from the network không nên có Guest làm giá trị.
Cũng đảm bảo chia sẻ thư mục mạng được bật trong Windows (Settings -> Network & Internet -> Ethernet -> Change advanced sharing options). Trong phần All Networks, chọn tùy chọn Turn on sharing so anyone with network access can read and write files in the Public folders và Turn off password protected sharing nếu bạn tin tưởng tất cả thiết bị trong mạng của bạn (tham khảo bài viết "Can't see computers on my network".)
Cho phép truy cập ẩn danh vào thư mục chia sẻ trên Windows
Sau đó bạn phải cấu hình quyền truy cập thư mục mạng bạn muốn chia sẻ. Mở thuộc tính thư mục, đi đến tab Security và kiểm tra quyền NTFS thư mục hiện tại. Nhấn Edit -> và gán quyền Đọc (và Modify nếu cần) cho nhóm cục bộ Everyone. Để làm điều đó, nhấp Edit -> Add -> Everyone và chọn đặc quyền truy cập thư mục cho người dùng ẩn danh. Tôi đã cấp quyền chỉ đọc.
Trong tab Sharing, cho phép người dùng ẩn danh truy cập thư mục chia sẻ (Share -> Advanced Setting -> Permissions). Đảm bảo nhóm Everyone có quyền Change và Read.
Trong phần Local Policies -> Security Options của Trình chỉnh sửa Chính sách nhóm cục bộ, bật chính sách Network access: Shares that can be accessed anonymous. Ở đây bạn phải chỉ định tên thư mục chia sẻ bạn muốn bật truy cập ẩn danh (trong ví dụ của tôi, đó là thư mục Share1, Distr và Docs).
Cách bật truy cập ẩn danh vào máy in chia sẻ?
Để bật truy cập ẩn danh vào máy in chia sẻ trên máy tính của bạn, hãy mở thuộc tính máy in chia sẻ trong Control Panel -> Hardware and Sound -> Devices and Printers. Kiểm tra tùy chọn Render print jobs on client computers trên tab Sharing.
Sau đó kiểm tra tất cả quyền cho nhóm Everyone trên tab Security của máy in.
Sau đó bạn sẽ có thể kết nối với thư mục chia sẻ của bạn (\\server-name\sharedfolder) và máy in trên máy tính/máy chủ miền từ máy tính nhóm làm việc mà không cần nhập thông tin đăng nhập của bạn, tức là ẩn danh.
Trong Windows 10 1709 hoặc mới hơn, truy cập mạng vào thư mục chia sẻ qua giao thức SMBv2 dưới tài khoản guest bị hạn chế theo mặc định và bạn có thể thấy lỗi sau: 'You can't access this shared folder because your organization's security policies block unauthenticated guest access'. Xem bài viết này.