Warum übergeordnete Rechte beim Anlegen des StammOrdners?

[humpen 10]

Hallo zusammen,

 

ich stehe mit meinem W2k3-Wissen auf dem Schlauch :rolleyes:

 

Beim Umleiten der StammOrdner über die GPO's (W2K3) bekommt der angelegte UserOrdner immer die übergeordneten Rechte :(

 

Eigentlich soll in jedem UserOrdner aber nur der Administrator, System und der User stehen oder habe ich da einen Denkfehler?

 

Infos:

- Umleitung: \\FileServer\\Freigabe$\%username%\Eigene Dateien

- User soll keine exclusiv Rechte haben!

- Freigabe$: Admins, System, diverse Gruppen

- Sicherheit: Admin, System, diverse Gruppen

 

Hat jemand Rat?

Gruß von humpen

[iDiddi 27]

Hallo humpen,

 

hab ich das jetzt richtig verstanden: Der Ordner %username% bekommt immer die Rechte vom übergeordneten Ordner (Freigabe$) vererbt?

Falls ja, musst Du doch nur die Vererbung in den Sicherheitseinstellungen des Ordners Freigabe$ aufheben. Dann sollte es funktionieren ;)

[dmetzger 10]

Falls ja, musst Du doch nur die Vererbung in den Sicherheitseinstellungen des Ordners Freigabe$ aufheben.

 

Nicht unbedingt. "Administratoren" (Vollzugriff - Diesen Ordner, Unterordner und Dateien), "System" (Vollzugriff - Diesen Ordner, Unterordner und Dateien) und "Ersteller-Besitzer" (Lesen, Ausführen - Nur Unterordner und Dateien) sollen ja Berechtigungen auf den untergeordneten Stammordnern haben, ohne dass sie auf jedem Stammordner nach dessen Erstellung separat eingetragen werden müssen. Es könnten je nach Umgebung einige 1000 oder 10'000 Stammordner sein :shock:

 

Aber auch wenn es bloss 5 Stammordner/Homes sind, schlage ich vor:

 

- Berechtigungen für Gruppen, die keinen Zugriff auf die Freigabestruktur haben sollen, möglichst weit oben entfernen (z.B. "Benutzer"). Das kann je nachdem bereits der Stamm eines separaten Datenvolumens sein, auf dem nur Stammordner/Homes beherbergt werden sollen.

 

- Falls es Gruppen gibt, die auf eine übergeordnete Ordnerstruktur zugreifen sollen, nicht aber auf die Stammordner selbst, muss tatsächlich die "Berechtigungen übergeordneter Objekte, sofern vererbbar..."-Kette unterbrochen werden, um an diesem Punkt diejenigen Gruppen zu entfernen, deren Berechtigungen nicht weiter vererbt werden sollen.

 

- Berechtigungen können "Nur für diesen Ordner" gesetzt werden. Eine entsprechende Gruppe hat in diesem Fall Zugriff auf dieses übergeordnete Objekt, nicht aber auf untergeordnete.

 

- Für automatisch erstellte Stammordner haben deren Benutzer Vollzugriff, d.h. sie können Berechtigungen untergeordneter Objekte (Ordner, Dokumente) per ACL ändern und z.B. den Administratoren alle Berechtigungen entziehen. Auch wenn sich dies durch Besitzübernahme ändern lässt, kann eine spätere Dateiserver-Migration dadurch erheblich länger dauern und/oder Sicherungen schlagen fehl. Es empfiehlt sich, die Berechtigungen der Benutzer auf ihren Stammordner so anzupassen, dass sie keinen Vollzugriff haben (CACLS drängt sich hier auf). Wenn alle Domänencontroller mindestens Windows Server 2008 RTM sind, kann dies mittels der Gruppe "Owner Rights" und Vererbung auf die Stammordner ebenfalls erreicht werden.

[humpen 10]

 

Falls ja, musst Du doch nur die Vererbung in den Sicherheitseinstellungen des Ordners Freigabe$ aufheben. Dann sollte es funktionieren

 

Die Vererbungsfunktion (oben/unten) ist ausgeschaltet nur beim Anlegen eines neuen Ordners durch den Ersteller besitzt dieser immer gleich das Flag "Vererbung der übergeordneten Rechte" übernehmen :mad:

 

Im DC Konto des Benutzers habe ich den Profilpfad auch auf eine Freigabe$ umgeleitet und die Berechtigungs-Strukturen sind absolut identisch, wie bei der Umleitung der StammOrdner per GPO - aber hier bekommt der Ordner des Erstellers die korrekten Rechte (Admin, User, System)!

 

Was kann denn hier nur anders ablaufen:confused:

 

Gruß von humpen