W2K Rechtesystem

[robotto7831a]

Hallo zusammen,

ich habe einen Windows 2000 Server. Dort gibt es eine Freigabe. Nur das mit dem Rechte vergeben, vererben usw. klappt noch nicht so ganz.

Folgende Situation:

hauptverzeichnis (Freigabename: test123)

|

|-----------verzeichnis 1 (Gruppe A)

|

|-----------verzeichnis 2 (Gruppe

|

|-----------verzeichnis 3 (Gruppe C)

|

|-----------verzeichnis 4 (Gruppe A,B,C)

Ich möchte jetzt folgendes erreichen. Auf die Freigabe test123 sollen die Gruppen A, B und C zugreifen können. In die Verzeichnissse 1 - 3 sollen nur die jeweiligen Gruppen und der Administrator rein dürfen. In Verzeichnis 4 alle Gruppen und der Admin.

Auf dieser Ebene dürfen die Gruppen die Rechte nicht ändern. Alles was unter Verzeichnis 1, 2, 3, und 4 hängt dürfen die jeweiligen Gruppen lesen, ändern, löschen, anlegen, Rechte ändern usw.

Wie muss ich die Rechte aufbauen? Ich hoffe jemand kann mir ein paar Tipps geben.

Ist es möglich die Rechte so einzustellen, wenn z.B. jemand in Verzeichnis 1 aus der Gruppe A ein Unterverzeichnis anlegt, dass nur er per Defaulteinstellung Zugriff darauf hat. Wenn die anderen Gruppenmitglieder auch Zugriff darauf haben sollen, dann soll er die Rechte erweitern dürfen. Geht sowas auch?

Frank

[Tiro]

Ich mach das mal exemplarisch für Verzeichnis 1 und Gruppe A. (und hoffentlich richtig :-))

Freigaberechte:

Admins Vollzugriff

Gruppe A, B, C lesen, schreiben

Jeder entfernen

NTFS-Rechte auf Verzeichnis A:

Admins Vollzugriff

Gruppe A Ändern

Jeder entfernen

Jeder Ordner- und Datei-Eigentümer hat automatisch das Recht Rechte zu ändern.

Bei einer Kombination aus Freigabe- und NTFS-Rechten gilt immer die restriktivsten Kombination!

[hades]

Freigaberechte test123:

Administratoren Vollzugriff

Gruppe A Vollzugriff

Gruppe B Vollzugriff

Gruppe C Vollzugriff

Jeder entfernen

NTFS-Rechte test123:

Administratoren Vollzugriff + alle Sonderrechte (Berechtigungen aendern, Besitz uebernehmen)

Gruppe A Lesen, Ausfuehren (+ Loeschen und Loeschen von Unterordnern deaktivieren)

Gruppe B Lesen, Ausfuehren (+ Loeschen und Loeschen von Unterordnern deaktivieren)

Gruppe C Lesen, Ausfuehren (+ Loeschen und Loeschen von Unterordnern deaktivieren)

Jeder entfernen

NTFS-Rechte test123\verzeichnis 1:

Vererbung vom uebergeordneten Ordner deaktivieren

Vererbung fuer untergeordnete Ordner aktivieren

Administratoren Vollzugriff + alle Sonderrechte

Gruppe A Vollzugriff + Sonderrecht Berechtigungen aendern

Jeder entfernen

NTFS-Rechte test123\verzeichnis 2:

Vererbung vom uebergeordneten Ordner deaktivieren

Vererbung fuer untergeordnete Ordner aktivieren

Administratoren Vollzugriff + alle Sonderrechte

Gruppe B Vollzugriff + Sonderrecht Berechtigungen aendern

Jeder entfernen

NTFS-Rechte test123\verzeichnis 3:

Vererbung vom uebergeordneten Ordner deaktivieren

Vererbung fuer untergeordnete Ordner aktivieren

Administratoren Vollzugriff + alle Sonderrechte

Gruppe C Vollzugriff + Sonderrecht Berechtigungen aendern

Jeder entfernen

NTFS-Rechte test123\verzeichnis 4:

Vererbung von uebergeordneten Ordner deaktivieren

Vererbung fuer untergeordnete Ordner aktivieren

Administratoren Vollzugriff + alle Sonderrechte

Gruppe A Vollzugriff + Sonderrecht Berechtigungen aendern

Gruppe B Vollzugriff + Sonderrecht Berechtigungen aendern

Gruppe C Vollzugriff + Sonderrecht Berechtigungen aendern

Jeder entfernen

Zur letzten Frage:

Geht auch, ist aber etwas komplizierter.

[robotto7831a]

Danke. Ich werde es Montag probieren.

Wie ist das eigentlich mit den Vererbungen. Wenn ich sage "Vererbung fuer untergeordnete Ordner aktivieren" kann dann der Benutzer unterhalb des Ordners die Berechtigungen ändern?

Frank

[hades]

Ja, das geht.

Der betreffende User muss hier das Sonderrecht Berechtigungen aendern haben.

[robotto7831a]

Hallo,

ich habe das jetzt ausprobiert.

Wenn ich Gruppe A Vollzugriff mach und dann alle Sonderrechte bis auf Berechtigungen aendern rausnehme, dann darf der User gar nichts mehr. Er kommt sogar nicht mehr in das Verzeichnis.

Habe ich da was falsch verstanden?

Frank

[hommling]

Kurze Verständnisfrage mal: Es gibt vordefinierte ACLs wie z.B. "Vollzugriff, Ändern, Lesen, Schreiben..." - halt alles, was man im "ersten Dialogfenster" einstellen kann. Darüber hinaus kann man auch alle ACLs in den "Erweiterten Sicherheitseinstellungen" anpassen - ist halt ein bißchen aufwändiger. Ich nehme jetzt einfach mal an, dass Du für Gruppe A folgendes gemacht hast. Zunächst hast Du vermutlich korrekt die Rechte über das besagte "erste einfache Dialogfenster" gesetzt. Anschließend hast Du nun in den erweiterten Sicherheitseinstellungen alle Rechte, die Du zuvor gesetzt hattest, wieder aufgehoben und nur das Recht "Besitzrechte ändern" aktiviert. Damit hast Du erreicht, dass ein Benutzer der Gruppe A nicht mehr in den Ordner gelangt. Ich kann mich jetzt irren und Dir Unrecht tun, aber das, was in Deinem letzten Beitrag so rausklang, deutet auf diese Ursache hin.

Lange Rede, kurzer Sinn: Welche Rechte hast Du denn überhaupt für Benutzergruppe A gesetzt?

[robotto7831a]

Genau. Das hatte ich gemacht.

Jetzt habe ich Gruppe A Vollzugriff gegeben im ersten Fenster. Aber dann haben die doch im zweiten Fenster schon das Recht die Rechte zu ändern.

Wie kann ich verhindern, dass ein Benutzer von Verzeichnis 1 selber die Rechte ändert? Er soll nur darunter die Rechte ändern dürfen.

Frank

[hommling]

Hi Frank!

Prima, da sind wir schon ein gutes Stück weiter. Für den Fall, dass ein Benutzer am Verzeichnis selbst nichts verfummeln kann, sondern nur für alle Unterordner und -dateien, hatte ich selbst auch schon mal rumüberlegt. Spontan fällt mir jetzt nur eines ein.

Grundsätzlich für diese Ordner keine übergeordneten vererbbaren Rechte übernehmen! Ich würde der Gruppe A Änderungsrechte auf den Ordner erteilen und diese Rechte für alle Unterordner und Dateien vererben. Außerdem muss man in diesem Fall das spezielle Recht "Löschen" deaktivieren, da sonst ein User den kompletten Ordner killen könnte. Und zusätzlich muss das Spezialrecht "Unterordner und Dateien löschen" der Gruppe zugewiesen werden, sonst müllt sich der Ordner von selbst zu.

Gruß

Hommling

[hades]

Es klang bei mir etwas ungluecklich.

Mit Sonderrechte meinte ich nur die Rechte Besitz uebernehmen und Berechtigungen aendern / Berechtigungen lesen.

Alle anderen Rechte sind Teile der normalen Rechte (Vollzugriff, Lesen, Ausfuehren, Schreiben, Aendern, Ordnerinhalt auflisten), die in der erweiterten Ansicht noch mal feiner strukturiert erlaubt/verweigert werden koennen.

[hommling]

Ist doch nicht schlimm, gib einfach dein IHK-Zertifikat zurück und die Sache ist erledigt...

[robotto7831a]

Also ich habe das jetzt hinbekommen.

Das mit dem löschen funktioniert auch.

Gruppe A "nur dieser Ordner" das Recht zum Löschen wegnehmen

Gruppe A "alle Unterordner und Dateien" das Recht zum Löschen geben

Jetzt dürfen die den obersten Ordner nicht löschen aber alle die da drunter hängen.

Danke nochmal an alle.

Frank

[hommling]

Wie jetzt? Keine Überweisung auf mein Schweizer Bankkonto? :eek:

Hommling