2003: Benutzer mit interner Mailbox ohne Zugriff auf Unternehmensressourcen

[mcc 10]

Hallo zusammen,

 

ich muss grad vorweg sagen, dass ich die Suche bemüht habe, aber nichts Passendes gefunden habe...

 

Ich habe also einen Benutzer, der eine interne Mailbox haben soll. Da er jedoch nicht zum Unternehmen gehört, soll er die Mails nur via Webmail abrufen können.

Nun ist das Webmail jedoch nur via VPN erreichbar, an welchem er sich mit dem Domain-Account anmeldet.

 

Zwar kann ich ihm auf dem SSL-VPN-Portal nur den Link zum Webmail veröffentlichen, allerdings hat er jederzeit die Möglichkeit, sich den VPN-Client herunterzuladen und mit diesem normal ins Netz zu verbinden.

 

Da er sich ohne Mitgliedschaft in der Gruppe "Domain Users" nicht mehr am Webmail anmelden kann, hat er über den Client auf alle Ressourcen innerhalb der Domäne Zugriff, auf die auch die "Domain Users" Zugriff haben.

 

Dies soll natürlich verhindert werden, weshalb ich nach einer Möglichkeit suche, einer anderen Gruppe Zugriff auf Webmail zu erlauben, ohne Mitgliedschaft in der "Domain Users"-Gruppe.

 

Könnt ihr mir hier weiterhelfen?

 

Danke und Grüsse

Christian

[NilsK 3.006]

Moin,

 

du hast im Wesentlichen zwei Möglichkeiten:

 

1. Der Benutzer bekommt keinen Zugriff auf das Netzwerk und keine Mailbox, sondern ihr richtet einen mailaktivierten Kontakt für ihn mit einer externen Weiterleitung ein.

 

2. Der Benutzer kommt in eine Gruppe "Kein Zugriff", für die ihr bei allen Ressourcen explizit den Zugriff verweigert.

 

Gruß, Nils

[mcc 10]

Moin,

 

du hast im Wesentlichen zwei Möglichkeiten:

 

1. Der Benutzer bekommt keinen Zugriff auf das Netzwerk und keine Mailbox, sondern ihr richtet einen mailaktivierten Kontakt für ihn mit einer externen Weiterleitung ein.

 

2. Der Benutzer kommt in eine Gruppe "Kein Zugriff", für die ihr bei allen Ressourcen explizit den Zugriff verweigert.

 

Gruß, Nils

 

Hallo Nils,

 

vielen Dank für die schnelle Antwort.

 

Punkt 1 kommt wohl nicht infrage, da der Benutzer vor allem auch über diese Adresse Mails versenden muss.

 

Punkt 2 wäre interessant, wenn ich diese Gruppe den bestehenden Berechtigungen einfach hinzufügen könnte, ohne durch die Vererbung das bisherige Berechtigungskonzept zu zerstören. Aber meines Wissens geht genau das nicht, richtig? Und der Gruppe lediglich den Zugriff auf den übergeordneten Ordner zu verbieten, wäre ja wieder "Security by obscurity"..., also keine Sicherheit, da der Zugriff auf die Unterordner ja weiterhin erlaubt ist.

 

Bitte korrigiert mich, wenn ich mich irre!

 

Grüsse

Christian

[NilsK 3.006]

Moin,

 

ich kenne natürlich euer Berechtigungskonzept nicht. Aber selbstverständlich ist es technisch möglich, eine Gruppe zu einer bestehenden Berechtigungsliste hinzuzufügen. Ja, das ist mit Planung und Aufwand verbunden und keine Sache für "mal eben".

 

Gruß, Nils