Jump to content

Kein Zugriff auf Share trotz Freigabe "Jeder"


Recommended Posts

Hallo zusammen,

 

ich habe hier ein merkwürdiges Verhalten auf einem migrierten Fileserver bei einem Kunden.
Der interne Admin ist mit diesem Problem an uns herangetreten.

 

Ich habe eine Freigabe "Share".

Hier ist über die erweiterte Freigabe "Jeder" mit Vollzugriff eingerichtet.

 

PS Q:\> Get-SMBShareAccess -Name Share

Name  ScopeName AccountName                  AccessControlType AccessRight
----  --------- -----------                  ----------------- -----------
Share *         VORDEFINIERT\Administratoren Allow             Full
Share *         Jeder                        Allow             Full

 

Nun ist es so, dass am Freitag die NTFS Berechtigungen dieses Shares verändert waren.
Die Sicherheitseinstellungen waren so geändert, dass der Admin keine Leseberechtigungen mehr im Ordner Sicherheit hatte und sich nicht den aktuellen Besitzer anzeigen lassen konnte.

Auf allen Unterordnern im Share bestand kein Zugriff.

 

Wir haben dann zunächst den Besitz der Ordner übernommen und haben dann festgestellt, dass einige Gruppen unter dem Reiter "Sicherheit" entfernt wurden.

Die NTFS Berechtigungen konnten wir rekonstruieren.

 

Trotzdem haben die User weiterhin keinen Zugriff auf das Share.

2024-02-1111_47_32-fileserver.thumb.jpg.fecdf43f85016743413116eb6a80af0a.jpg

 

 

Im Rahmen weiterer Prüfungen haben wir festgestellt, dass wohl auch noch Berechtigungen mit dem Freigabeassistenten gesetzt wurden.

2024-02-1111_39_21-Fileserver.jpg.8f104a30b7e32062f48d112169f0153f.jpg

 

Wenn ich hier eine der Gruppen entfernen möchte, startet der Assistent, läuft ca. 90-120 Min und nachher ist die Gruppe immer noch da drin.

 

Ein Deaktivieren des Freigabeassistenten über die Registry brachte keinen Erfolg.

 

Wenn ich die komplette Freigabe in der Registry lösche, sind diese Einträge immer noch da,

Der RegKey unter SYSTEM\CurrentControlSet\Services\LanmanServer\Shares sheint sich nur auf die erweiterte Freigabe zu beziehen.

 

Ebenfalls verstehe ich nicht, warum der Zugriff auf Freigabeebene für "Sachbearbeiter" gesperrt ist, da diese unter dem Freigabeassistenten "Lesen und Schreiben" dürfen?

 

Kann mir jemand sagen, wo ich ansetzen kann, um die Einträge aus dem Assistenten zu entfernen?

 

Das Share befindet sich auf einer separaten VHDX.

 

Würde es etwas bringen den Server neu aufzusetzen und die Shares neu zu setzen und nicht wie bei der jetzigen Migration (2012R2 zu 2019) den RegKey zu kopieren?

 

Danke jetzt schon mal fürs Lesen.

 

Gruß

chrismue

 

Link to comment
vor 26 Minuten schrieb chrismue:

Nun ist es so, dass am Freitag die NTFS Berechtigungen dieses Shares verändert waren.

Tja, wer jeder auf voll setzt, will das offensichtlich mal erleben. ;)

vor 26 Minuten schrieb chrismue:

Würde es etwas bringen den Server neu aufzusetzen und die Shares neu zu setzen und nicht wie bei der jetzigen Migration (2012R2 zu 2019) den RegKey zu kopieren?

Das ist doch vollkommen egal. Wenn da sowieso nur jeder auf Vollzugriff vergeben wird. 

  • Like 1
Link to comment

Moin,

 

Ich kann euch nicht folgen. Es gibt nur zwei Ebenen: NTFS-Berechtigungen und Freigabe-Berechtigungen. Die sog. "Erweiterte Freigabe" ist nur eine Bezeichnung aus dem unseligen Assistenten.

 

Da dort anscheinend gerade Chaos herrscht, wäre es vermutlich am sinnvollsten, die Freigabe komplett zu entfernen und danach für den Verzeichnisbaum alle NTFS-Berechtigungen zurückzusetzen. Dann kann man die Berechtigungen gezielt und systematisch neu aufbauen.

 

Gruß, Nils

 

  • Like 1
Link to comment
Am 11.2.2024 um 12:03 schrieb chrismue:

Hier ist über die erweiterte Freigabe "Jeder" mit Vollzugriff eingerichtet.

Wie bereits mehrfach erwähnt, ist das keine gute Idee. Nachfolgend die Erklärung warum:

https://www.hasslinger.com/index.php/de/blog/das-missverstaendniss-mit-besitz-uebernehmen-und-den-ntfs-sowie-freigaberechten

 

Evtl. möchtest Du auch noch das AGDLP-Prinzip anwenden, wenn es Dir was bringt. Ich habe z. B. da das "DL" weggelassen, weil keinen Nutzen.

https://www.faq-o-matic.net/2011/03/07/windows-gruppen-richtig-nutzen/

Link to comment

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Guest
Reply to this topic...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

×
×
  • Create New...