企业文件服务器用久了，常常会发现共享目录里混进了大量视频、游戏安装包甚至木马文件。这些文件不仅占用宝贵的磁盘空间，还可能带来安全风险。Windows Server内置的文件服务器资源管理器FSRM（File Server Resource Manager）提供了文件屏蔽（File Screening）功能，可以精确控制用户在指定目录下能写入哪些类型的文件，违规文件一落地就会被拦截，同时支持邮件告警和事件日志记录，是企业文件管控的利器。
一、安装FSRM并做好前置准备
FSRM属于Windows Server的可选功能，默认没有安装。以管理员身份打开服务器管理器，点击添加角色和功能，在功能列表中勾选文件服务器资源管理器即可。如果习惯命令行操作，也可以用PowerShell一条命令完成安装：
Install-WindowsFeature FS-Resource-Manager -IncludeManagementTools
安装完成后，在工具菜单中就能看到文件服务器资源管理器入口。这里有一个容易踩的坑：FSRM依赖NTFS文件系统，如果共享目录位于ReFS或FAT32分区上，屏蔽功能将无法生效，所以规划目录时要确认磁盘格式。
另一个前置条件是邮件通知。屏蔽规则触发时的邮件告警依赖SMTP服务器，建议提前在FSRM选项中配置好SMTP服务器地址、发件人和收件人邮箱，并点击发送测试电子邮件验证连通性。SMTP服务器可以使用企业内部的Exchange，也可以用其他邮件服务，只要允许匿名或配置好认证即可。
二、创建文件组定义要屏蔽的文件类型
文件屏蔽的核心逻辑是：先定义一个文件组（File Group），把要屏蔽的文件按扩展名归类，再把屏蔽规则绑定到某个路径上。FSRM自带了一批预定义文件组，比如音频和视频文件、可执行文件、压缩文件等，可以直接使用，也可以基于实际需求自定义。
在FSRM控制台中展开文件屏蔽管理，右键点击文件组，选择创建文件组。例如我们想阻止用户存放高清电影，可以创建一个名为高清视频的文件组，在要包含的文件栏中添加扩展名模式：
*.mkv *.avi *.rmvb *.mp4 *.wmv *.iso
除了包含模式外，还可以设置排除模式。举例来说，公司培训部门需要上传mp4格式的教学视频，但又不允许存放其他视频，这时可以在文件组中包含*.*是不现实的，更合理的做法是单独建一个组，包含*.avi;*.rmvb;*.mkv，把*.mp4放入排除列表，再配合后文讲到的屏蔽例外实现精细控制。文件组支持通配符匹配，*.jpg匹配所有jpg文件，还可以用*temp*这类模式匹配文件名中包含特定字符的文件。
三、配置屏蔽模板并应用到目录
屏蔽模板（File Screen Template）是屏蔽规则的参数集合，把屏蔽类型、通知方式、违规处理方式固化成模板，便于批量套用和统一修改。右键点击文件屏蔽模板，选择创建文件屏蔽模板，填写模板名称，屏蔽类型有三种可选：
- 主动屏蔽：直接阻止用户写入匹配的文件，系统会拒绝创建操作并弹出错误提示，是最常用的模式。
- 被动屏蔽：不阻止写入，仅监控和记录，适合先观察违规情况再决定是否强制执行的过渡阶段。
- 主动屏蔽但允许例外：在主动屏蔽的基础上，对子目录中的特定文件组放行。
在电子邮件通知选项卡中可以设置触发屏蔽时给管理员发送邮件，邮件内容支持变量替换，比如[Source Io Owner]会自动替换成违规用户账号，[File Screen Path]替换成触发路径，方便快速定位责任人。事件日志选项卡建议保持默认勾选，这样每次违规都会在系统日志中留下记录，便于事后审计。
模板创建好后，右键点击文件屏蔽，选择创建文件屏蔽，选择要管控的目录路径（例如D:\Shares\Public），套用刚才的模板即可生效。验证方法很简单：在该目录下尝试新建一个txt文件可以成功，而尝试复制一个mkv文件进来就会被拒绝，系统提示没有正确的权限。也可以用命令行快速验证：
Copy-Item C:\temp\test.mkv D:\Shares\Public\
如果命令报拒绝访问错误，说明屏蔽规则已经生效。如果要批量对多个目录应用模板，可以使用文件屏蔽例外功能：屏蔽规则作用于父目录时会自动向下继承，这和NTFS权限继承的逻辑类似，子目录默认受控，无需逐个配置。
四、屏蔽例外与配额联动实现精细管控
实际环境中经常有这样的需求：整个共享区禁止存放视频，但培训目录例外。这时就用到了屏蔽例外。右键点击文件屏蔽例外，选择创建文件屏蔽例外，路径指向D:\Shares\Public\Training，勾选要放行的文件组（比如前面配置了排除mp4的视频组），保存后该目录就可以正常写入mp4教学视频，而其他目录依然被严格拦截。屏蔽例外的优先级高于继承的屏蔽规则，这一点在设计目录结构时要充分利用。
FSRM的另一个搭档是配额管理。屏蔽解决的是能不能写的问题，配额解决的是能写多少的问题。两者配合可以实现非常灵活的策略，例如对用户个人目录设置1GB的硬配额，同时屏蔽可执行文件，防止有人把网盘客户端、游戏塞进个人空间。配额同样支持模板化管理和阈值告警，在85%、95%用量时自动发邮件提醒用户清理空间。
最后补充几个运维建议：第一，屏蔽规则生效后不影响规则创建之前就已存在的违规文件，建议先用被动屏蔽跑一两周，生成报告摸清存量情况，再切换为主动屏蔽；第二，定期查看FSRM生成的文件屏蔽报告，掌握违规高发时段和用户；第三，如果服务器上还跑着杀毒软件或备份软件，注意把相关服务账户加入屏蔽例外，否则备份进程写入临时文件时可能被误拦。做好这些细节，一套可审计、可告警、可持续运营的文件管控体系就搭建完成了。
FSRM文件屏蔽Windows文件服务器修改时间：2026-09-07 12:56:31