Sicherheitsgruppe Berechtigung feststellen

[CrankSG 18]

Hallo zusammen,

 

könnte mir jemand einen Rat geben wie ich die laufenden Berechtigungen einer Sicherheitsgruppe feststellen kann.

 

Zur Erklärung: Wir haben eine Sicherheitsgruppe die nicht mehr benötigt wird. Jedoch möchte ich vor dem Löschen herausfinden, auf welchen Verzeichnissen diese eingerichtet ist. Gibt es dazu eine schnelle Lösung ?

 

 

[NilsK 2.789]

Moin,

 

mit Bordmitteln nicht ohne Weiteres, das erzeugt viel Aufwand.

 

Du kannst versuchen, mit icacls und dem Schalter /findsid zu arbeiten:

icacls C:\Ordner\*.* /findsid MeineGruppe /T /C > D:\Ordner\Ergebnis.txt

Beachte aber, dass das dauern und erhebliche Last erzeugen kann. Und: Es findet nur Ressourcen, in denen die Gruppe direkt eingetragen sind, keine Verschachtelungen.

 

Wenn solche Fälle häufiger auftreten, sollte man sich nach einem professionellen Werkzeug für sowas umsehen.

 

Gruß, Nils

[CrankSG 18]

Vielen Dank für die Antwort ... Das Problem daran ist das wir hier ne größere Menge an Fileservern stehen haben die ich alle prüfen muss ... daher werde ich wahrscheinlich die Gruppe einfach brachliegen lassen bis ich eine optimale Lösung gefunden habe ... aber danke für den Tipp mit dem icacls das kannte ich so noch nicht ..

[NilsK 2.789]

Moin,

 

du kannst die Gruppe auch "deaktivieren", indem du sie in eine Verteilergruppe konvertierst. Sie taucht dann im Access Token der User nicht mehr als SID auf.

Wenn dann jemand nicht mehr zugreifen kann, weißt du, wo die Gruppe verwendet wurde.

 

Anderer Weg: Du dokumentierst die Mitglieder der Gruppe und entfernst diese dann. Dasselbe Spiel: Wenn sich jemand beschwert, weißt du, wo die Gruppe nötig war.

 

In beiden Fällen machst du den Vorgang rückgängig, wenn sich die Sache als kritisch herausstellt.

 

Wenn niemand sich beschwert, ist es offensichtlich unkritisch. Dann kannst du die Gruppe nach einer Karenzzeit löschen. Sollte danach wieder Bedarf bestehen, erzeugst du zielgerichtet einen neue Gruppe.

 

Nach dem Löschen der Gruppe kannst du z.B. SubInAcl nutzen, um die möglichen verwaisten Berechtigungseinträge aufzuräumen.

 

Gruß, Nils

bearbeitet 29. Januar 2015 von NilsK