Jump to content
Sign in to follow this  
humpen

Warum übergeordnete Rechte beim Anlegen des StammOrdners?

Recommended Posts

Hallo zusammen,

 

ich stehe mit meinem W2k3-Wissen auf dem Schlauch :rolleyes:

 

Beim Umleiten der StammOrdner über die GPO's (W2K3) bekommt der angelegte UserOrdner immer die übergeordneten Rechte :(

 

Eigentlich soll in jedem UserOrdner aber nur der Administrator, System und der User stehen oder habe ich da einen Denkfehler?

 

Infos:

- Umleitung: \\FileServer\\Freigabe$\%username%\Eigene Dateien

- User soll keine exclusiv Rechte haben!

- Freigabe$: Admins, System, diverse Gruppen

- Sicherheit: Admin, System, diverse Gruppen

 

Hat jemand Rat?

Gruß von humpen

Share this post


Link to post

Hallo humpen,

 

hab ich das jetzt richtig verstanden: Der Ordner %username% bekommt immer die Rechte vom übergeordneten Ordner (Freigabe$) vererbt?

Falls ja, musst Du doch nur die Vererbung in den Sicherheitseinstellungen des Ordners Freigabe$ aufheben. Dann sollte es funktionieren ;)

Share this post


Link to post
Falls ja, musst Du doch nur die Vererbung in den Sicherheitseinstellungen des Ordners Freigabe$ aufheben.

 

Nicht unbedingt. "Administratoren" (Vollzugriff - Diesen Ordner, Unterordner und Dateien), "System" (Vollzugriff - Diesen Ordner, Unterordner und Dateien) und "Ersteller-Besitzer" (Lesen, Ausführen - Nur Unterordner und Dateien) sollen ja Berechtigungen auf den untergeordneten Stammordnern haben, ohne dass sie auf jedem Stammordner nach dessen Erstellung separat eingetragen werden müssen. Es könnten je nach Umgebung einige 1000 oder 10'000 Stammordner sein :shock:

 

Aber auch wenn es bloss 5 Stammordner/Homes sind, schlage ich vor:

 

- Berechtigungen für Gruppen, die keinen Zugriff auf die Freigabestruktur haben sollen, möglichst weit oben entfernen (z.B. "Benutzer"). Das kann je nachdem bereits der Stamm eines separaten Datenvolumens sein, auf dem nur Stammordner/Homes beherbergt werden sollen.

 

- Falls es Gruppen gibt, die auf eine übergeordnete Ordnerstruktur zugreifen sollen, nicht aber auf die Stammordner selbst, muss tatsächlich die "Berechtigungen übergeordneter Objekte, sofern vererbbar..."-Kette unterbrochen werden, um an diesem Punkt diejenigen Gruppen zu entfernen, deren Berechtigungen nicht weiter vererbt werden sollen.

 

- Berechtigungen können "Nur für diesen Ordner" gesetzt werden. Eine entsprechende Gruppe hat in diesem Fall Zugriff auf dieses übergeordnete Objekt, nicht aber auf untergeordnete.

 

- Für automatisch erstellte Stammordner haben deren Benutzer Vollzugriff, d.h. sie können Berechtigungen untergeordneter Objekte (Ordner, Dokumente) per ACL ändern und z.B. den Administratoren alle Berechtigungen entziehen. Auch wenn sich dies durch Besitzübernahme ändern lässt, kann eine spätere Dateiserver-Migration dadurch erheblich länger dauern und/oder Sicherungen schlagen fehl. Es empfiehlt sich, die Berechtigungen der Benutzer auf ihren Stammordner so anzupassen, dass sie keinen Vollzugriff haben (CACLS drängt sich hier auf). Wenn alle Domänencontroller mindestens Windows Server 2008 RTM sind, kann dies mittels der Gruppe "Owner Rights" und Vererbung auf die Stammordner ebenfalls erreicht werden.

Share this post


Link to post

 

Falls ja, musst Du doch nur die Vererbung in den Sicherheitseinstellungen des Ordners Freigabe$ aufheben. Dann sollte es funktionieren

 

Die Vererbungsfunktion (oben/unten) ist ausgeschaltet nur beim Anlegen eines neuen Ordners durch den Ersteller besitzt dieser immer gleich das Flag "Vererbung der übergeordneten Rechte" übernehmen :mad:

 

Im DC Konto des Benutzers habe ich den Profilpfad auch auf eine Freigabe$ umgeleitet und die Berechtigungs-Strukturen sind absolut identisch, wie bei der Umleitung der StammOrdner per GPO - aber hier bekommt der Ordner des Erstellers die korrekten Rechte (Admin, User, System)!

 

Was kann denn hier nur anders ablaufen:confused:

 

Gruß von humpen

Share this post


Link to post
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte überlege Dir, ob es nicht sinnvoller ist ein neues Thema zu erstellen.

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Guest
Reply to this topic...

×   Pasted as rich text.   Restore formatting

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

Sign in to follow this  

Werbepartner:



×
×
  • Create New...