โดยค่าเริ่มต้น เมื่อผู้ใช้พยายามเข้าถึงโฟลเดอร์ที่แชร์บนเซิร์ฟเวอร์ที่เข้าร่วม Active Directory domain จากคอมพิวเตอร์ workgroup จะมีพรอมป์ให้ป้อนข้อมูลประจำตัวบัญชีโดเมน ลองดูวิธี เปิดใช้งานการเข้าถึงโฟลเดอร์ที่แชร์หรือเครื่องพิมพ์แบบไม่ต้องรับรองความถูกต้อง (anonymous) บนเซิร์ฟเวอร์โดเมนจากคอมพิวเตอร์ workgroup ใน Windows 10 / Windows Server 2016
จากมุมมองด้านความปลอดภัย ไม่แนะนำให้เปิดใช้งานการเข้าถึงเครือข่ายแบบไม่ระบุตัวตนสำหรับบัญชี guest นอกจากนี้ คุณไม่ควรทำเช่นนี้บน AD Domain Controllers ทุกกรณี ดังนั้น ก่อนเปิดใช้งานการเข้าถึงแบบไม่ระบุตัวตน ลองใช้วิธีที่ถูกต้องกว่านั้น – ให้คอมพิวเตอร์ workgroup เข้าร่วมโดเมนของคุณ หรือสร้างบัญชีโดเมนสำหรับผู้ใช้ทั้งหมดใน workgroup
Local Anonymous Access Group Policies
เปิด Local Group Policy Editor (gpedit.msc) บนเซิร์ฟเวอร์/คอมพิวเตอร์ที่คุณต้องการเปิดใช้งานการเข้าถึงแบบไม่ระบุตัวตน
ไปที่ส่วน GPO ต่อไปนี้: Computer Configuration -> Windows Settings -> Security Settings -> Local Policies -> Security Options กำหนดค่านโยบายต่อไปนี้:
- Accounts: Guest Account Status: Enabled
- Network access: Let Everyone permissions apply to anonymous users: Enabled
- Network access: Do not allow anonymous enumeration of SAM accounts and shares: Disabled
เพื่อเหตุผลด้านความปลอดภัย ตรวจสอบให้แน่ใจว่าบัญชี Guest ถูกระบุในนโยบาย Deny log on locally ภายใต้ Local Policies -> User Rights Assignment
จากนั้น ตรวจสอบให้แน่ใจว่า Guest ถูกระบุในนโยบาย Access this computer from network ในส่วนเดียวกัน และนโยบาย Deny access to this computer from the network ไม่ควรมี Guest เป็นค่า
ตรวจสอบอีกครั้งว่า network folder sharing เปิดใช้งานใน Windows ( Settings -> Network & Internet -> Ethernet -> Change advanced sharing options) ในส่วน All Networks เลือกตัวเลือก Turn on sharing so anyone with network access can read and write files in the Public folders และ Turn off password protected sharing หากคุณเชื่อมั่นในอุปกรณ์ทั้งหมดในเครือข่ายของคุณ (อ้างอิงบทความ “Can’t see computers on my network”.)
อนุญาตการเข้าถึงโฟลเดอร์ที่แชร์แบบไม่ระบุตัวตนบน Windows
จากนั้น คุณต้องกำหนดค่าสิทธิ์การเข้าถึงโฟลเดอร์เครือข่ายที่คุณต้องการแชร์ เปิดคุณสมบัติของโฟลเดอร์ ไปที่แท็บ Security และตรวจสอบ NTFS permissions ปัจจุบันของโฟลเดอร์ กด Edit -> และมอบสิทธิ์ Read (และ Modify หากต้องการ) ให้กลุ่มท้องถิ่น Everyone ในการทำเช่นนั้น คลิก Edit -> Add -> Everyone และเลือกสิทธิ์การเข้าถึงโฟลเดอร์สำหรับผู้ใช้แบบไม่ระบุตัวตน ผมให้สิทธิ์ read-only
ในแท็บ Sharing ให้อนุญาตให้ผู้ใช้แบบไม่ระบุตัวตนเข้าถึงโฟลเดอร์ที่แชร์ (Share -> Advanced Setting -> Permissions) ตรวจสอบให้แน่ใจว่ากลุ่ม Everyone มีสิทธิ์ Change และ Read
ในส่วน Local Policies -> Security Options ของ Local Group Policy Editor ให้เปิดใช้งานนโยบาย Network access: Shares that can be accessed anonymous ที่นี่คุณต้องระบุชื่อโฟลเดอร์ที่แชร์ที่คุณต้องการเปิดใช้งานการเข้าถึงแบบไม่ระบุตัวตน (ในตัวอย่างของผมคือโฟลเดอร์ Share1, Distr และ Docs)
วิธีเปิดใช้งานการเข้าถึงเครื่องพิมพ์ที่แชร์แบบไม่ระบุตัวตน
เพื่อเปิดใช้งานการเข้าถึงเครื่องพิมพ์ที่แชร์บนคอมพิวเตอร์ของคุณแบบไม่ระบุตัวตน ให้เปิดคุณสมบัติของเครื่องพิมพ์ที่แชร์ใน Control Panel -> Hardware and Sound -> Devices and Printers ตรวจสอบตัวเลือก Render print jobs on client computers บนแท็บ Sharing
จากนั้นตรวจสอบสิทธิ์ทั้งหมดสำหรับกลุ่ม Everyone บนแท็บ Security ของเครื่องพิมพ์
หลังจากนั้น คุณจะสามารถเชื่อมต่อกับโฟลเดอร์ที่แชร์ (\\server-name\sharedfolder) และเครื่องพิมพ์บนคอมพิวเตอร์/เซิร์ฟเวอร์โดเมนจากคอมพิวเตอร์ workgroup โดยไม่ต้องป้อนข้อมูลประจำตัว คือ แบบไม่ระบุตัวตน
ใน Windows 10 1709 หรือใหม่กว่า การเข้าถึงเครือข่ายไปยังโฟลเดอร์ที่แชร์ผ่านโปรโตคอล SMBv2 ภายใต้บัญชี guest ถูกจำกัดโดยค่าเริ่มต้น และคุณอาจเห็นข้อผิดพลาดต่อไปนี้: ‘You can’t access this shared folder because your organization’s security policies block unauthenticated guest access’ ดูบทความนี้
