Кратко — не делать ничего радикального и сначала слепок/имидж тома, потом пробовать массово сбросить владельца/ACL извне ОС. Ниже — пошаговый план действий и варианты, почему так могло произойти.
1) Первая и самая важная рекомендация — стоп‑кран
- Немедленно сделайте поблочную копию тома (disk image) или снапшот (VSS/Storage snapshot), прежде чем что‑то менять. Если том важен — любые правки могут усугубить повреждение метаданных ReFS. Подойдут: резервная копия на уровне диска, disk2vhd, сторонний инструмент создания образа.
- По возможности работайте с копией/клонованным диском.
2) Диагностика
- Посмотрите события в Event Viewer (Журналы Windows → Система, Журналы приложений и служб → Microsoft → Windows → ReFS / Storage) на предмет ошибок метаданных, контроллера диска, RAID/Storage Spaces и пр.
- Проверьте физический статус дисков/контроллера/RAID: SMART, журнал контроллера, состояние Storage Spaces/RAID‑массива. Частые причины — сбой контроллера/RAID после скачка питания, что могло повредить метаданные ReFS.
- Уточните: это standalone диск или том в Storage Spaces/Storage Pool? Есть ли зеркалирование/репликация? Если есть зеркалирование — ReFS может автоматически восстановить данные.
3) Попробуйте восстановить владельца/ACL извне работающей системы
Часто доступ можно восстановить, если работать с томом из среды WinPE/Install media или под SYSTEM (чтобы исключить блокировки процесса ОС).
a) Загрузитесь с установочного носителя Windows → Repair → Command Prompt или поднимите WinPE/WinRE, либо выньте диск и подключите к другому серверу с Win Server 2022.
b) Примеры команд (выполнять только на склонированном диске или после бэкапа):
- Назначить владельца всем объектам на томе (рекурсивно). Используем SID Administrators, чтобы не зависеть от локализованных имён:
icacls D:\ /setowner *S-1-5-32-544 /T /C
- Рекурсивно сбросить ACL на унаследованные значения (или очистить и назначить новые):
icacls D:\ /reset /T /C
Если нужно явно назначить полный доступ группе Администраторы:
icacls D:\ /grant *S-1-5-32-544:F /T /C
- Альтернатива (инструмент takeown):
takeown /F D:\ /R /D Y
затем icacls D:\ /grant *S-1-5-32-544:F /T /C
Пояснения:
- /T — рекурсивно, /C — продолжать при ошибках, /setowner может принимать SID (с префиксом *).
- Если локальная команда возвращает “доступ запрещён” даже в WinRE/под SYSTEM — это признак повреждения метаданных безопасности ReFS, а не просто прав.
c) Запуск от имени SYSTEM
- Иногда операции успешнее выполняются от SYSTEM: используйте PsExec (PSTools) на рабочем сервере:
psexec -s -i cmd.exe
и в открывшейся консоли повторите icacls /setowner или /reset. Но предпочтительнее WinPE/внешняя машина.
4) Если команды не работают — вероятно повреждены метаданные безопасности ReFS
- Если ни запуск от WinPE, ни SYSTEM, ни подключение к другому серверу не помогают — метаданные безопасности (security descriptors / ACL table) файловой системы повреждены. Это выходит за рамки обычных утилит управления ACL.
- В этом случае возможные варианты:
- Восстановить из резервной копии (если есть). Это самый надёжный путь.
- Если том — часть зеркалированного хранилища/Storage Spaces, попытать автовосстановление (см. логи и состояние Pool/VirtualDisk). Команды PowerShell для Storage Spaces (Get‑StoragePool, Get‑VirtualDisk, Repair‑VirtualDisk и пр.) могут помочь, если речь о pool.
- Обратиться в техподдержку Microsoft (PSS) — у них есть внутренние средства и опыт восстановления метаданных ReFS и security descriptors.
- Профессиональные службы по восстановлению данных (если данные критичны).
5) Полезные проверки/команды для диагностики
- Event Viewer — ищите ReFS, volmgr, storport, disk, Ntfs (хотя у ReFS нет chkdsk).
- Проверить вид тома: mountvol, diskpart → list volume.
- PowerShell (если Storage Spaces): Get-PhysicalDisk; Get-StoragePool; Get-VirtualDisk; Get-Volume.
- Попробуйте «открыть» (dir, attrib) файлы из WinPE — если метаданные не читаются, они будут недоступны и из внешней среды.
6) Что нельзя делать
- Не запускать агрессивные записи на диск без бэкапа (например попытки массового icacls с /grant на оригинальном томе без снимка) — можно потерять остатки метаданных.
- Не игнорировать шанс на восстановление из снимков/бекапа.
7) Практический план действий (шаги для вас сейчас)
a) Сделать поблочный образ тома.
b) Собрать логи (Event Viewer) и скриншоты ошибок («Не удалось отобразить текущего владельца», тексты ошибок при попытке takeown/icacls).
c) Подключить диск к другому серверу (или загрузиться с WinPE) и выполнить:
icacls D:\ /setowner *S-1-5-32-544 /T /C
icacls D:\ /reset /T /C
(или icacls D:\ /grant *S-1-5-32-544:F /T /C)
d) Если шаг (c) не помог — собрать логи и связаться с Microsoft Support / профильной службой восстановления данных.
Если хотите, могу:
- Помочь составить пошаговый скрипт для WinPE/командной строки (учитывая букву тома и локализацию).
- Подсказать, какие именно события Event Viewer прикрепить для оценки.
- Пройти с вами по выводу конкретных команд (icacls/takeown) и ошибок — пришлите примеры ошибок и вывод команды.
Укажите, пожалуйста, есть ли у вас актуальные бэкапы/снапшоты, том является частью Storage Spaces/RAID, и можете ли вы отсоединить диск и подключить его к другой машине для офлайн‑работы.