Gruppe hat Zugriff, ein Mitglied dieser Gruppe nicht?

[helilocke 10]

Hallo zusammen,

 

ich verzweifel jetzt langsam.

 

Es besteht ein Verzeichniss auf dies div. Benutzer/ Gruppen Zugriffsberechtigungen besitzen.

Eine definierte Gruppe X hat das Recht bis ändern. Alle Mitglieder - bis auf einen - dieser Gruppe können auch munter Dateien erstellen, ändern usw.. Nur eben ein Mitglied in dieser Gruppe darf bis auf Ordnerinhalt auflisten gar nichts!?

 

Füge ich diesen einen Benutzer einzeln hinzu funktioniert alles.

 

Hat jemand eine idee?

 

Gruß

HL

[Sunny61 773]

Ist der betroffene User in einer Gruppe, die explizit im Teil der Verweigerung steht?

[helilocke 10]

Genau das macht mich ja stutzig: dort wird nicht mit dem Verweigern gearbeitet! Hatte ich bereits alles geprüft.

In allen übergeordneten Ordnern wird niemanden irgendwas verweigert.

Auch nicht explizit diesem User.

[NilsK 2.786]

Moin,

 

hat sich der Benutzer nach dem Ändern der Gruppenmitgliedschaft schon neu angemeldet?

 

Gruß, Nils

[helilocke 10]

Jupp hatte er.

Eben der Witz: wenn ich den User explizit angebe funktionierts, sogar sofort.

Alle anderen in der Gruppe können wurschteln nur eben der eine nicht:confused:

[NilsK 2.786]

Moin,

 

Jupp hatte er.

 

sicher? Vorsichtshalber noch mal neu anmelden. (Ganz von Windows abmelden und neu anmelden. Nicht nur neu auf den Server zugreifen.)

 

Eben der Witz: wenn ich den User explizit angebe funktionierts, sogar sofort.

Alle anderen in der Gruppe können wurschteln nur eben der eine nicht:confused:

 

Genau darum ja der Verdacht, dass das Zugriffstoken des Users noch nicht aktualisiert wurde.

 

Gruß, Nils

[Dexx 10]

Hi,

 

mach doch mal folgendes, lade dir "Kerbtray.exe"

 

Download details: Windows Server 2003 Resource Kit Tools

 

von Microsoft herunter, führe es bei dem einen User aus, schau dir die TGT´s an und mach das selbe bei einem User, der Zugriff hat. Vergleiche die miteinander und finde den Unterschied heraus. Falls die TGT´s gleich sind, schau mal in den "Freigabeberechtigungen" nach.

 

Liegen auf dem Share reine Files oder ist es ein Datenbankrepository oder was ganz anderes????

 

Gruß,

 

Dexx

[Stephan Betken 43]

In wievielen Gruppen ist der Benutzer denn Mitglied? Wurde vielleicht eine Domänenmigration mittels ADMT gemacht und die SIDhistory nicht bereinigt?

Wenn ansonsten wirklich alles in Ordnung ist, dann könnte das dennoch am Zugriffstoken liegen. Dieses kann imho 1.024 Einträge haben und beinhaltet die eigene(n) SID(s) und die SID aller Gruppen, in denen der Benutzer direkt oder indirekt Mitglied ist. Wenn bei einer Migration die SIDhistory beibehalten wird, dann verdoppeln sich halt auch (fast) die entsprechenden Einträge, da auch diese im Token enthalten sind. In sehr grossen Umgebungen kann das schon mal schnell zum Problem werden, da nach 1.024 Einträgen einfach Schluss ist (und zwar völlig ohne Fehlermeldung).