Problem mit dem richtigen setzen von ACL-Rechten auf einem Ordner.

So in etwa hab ich mir das auch Gedacht.
Es funktioniert leider so nicht.

Auf dem Share hat "Jeder"->"Vollzugriff".

Ich habe alle Berechtigungen entfernt und dann folgende Berchtigungen zu "G:\Auftrag" hinzugefügt:
- Administrator Vollzugriff
- grp-daten Lesen

Im Grunde hat die Vererbung aber keinen Sinn, da ich diese schon auf der nächster Ebene (G:\Auftrag\Kunde)
unterbrechen muss, da sonst die Vererbung auf die Unterordner von "Kunde" weiterwirken würde.
Das würde dann nur Leserechte bewirken.

Trotzdem habe ich testweise beides ausprobiert. Sowohl mit als auch ohne Vererbung gearbeitet.
Das Ergebnis ist immer das gleiche: Ich kann unterhalb von "Kunde" nichts machen (Keine Ordner anlegen oder verändern).

Ich habe es jetzt ans Laufen bekommen, allerdings werd ich aus dem Prinzip nicht ganz schlauh.
Egal: Folgende Rechte müssen gesetzt werden, damit ich das erreiche was ich möchte:

"G:\Auftrag"
- Administrator Vollzugriff
- System Vollzugriff
- Gruppe-Daten Lesen

"G:\Auftrag\Kunde"
- Administrator Vollzugriff Allow (geerbt)
- System Vollzugriff Allow (geerbt)
- Gruppe-Daten Lesen Allow (geerbt)
- Gruppe-Daten Schreiben Allow (Dieser Ordner und Unterordner) (nicht geerbt)
- Gruppe-Daten Löschen Deny (Nur dieser Ordner) (nicht geerbt

Dies bewirkt, dass ich den Ordner "Kunde" nicht verändern/verschieben kann, aber eben auch nicht "löschen" kann.
Alles darunter ist frei verfügbar/veränderbar.

Warum die logische Lösung mit "Gruppe-Daten" und Vollzugrif auf "Nur Unterordner und Dateien" nicht funktioniert, weiss ich nicht.
Die logische Lösung funktioniert nur wenn ich sie auf "Diesen Ordner, Unterordner und Dateien" anwende.
Dann kann ich den Ordner "Kunde" nicht bearbeiten oder verschieben, ABER ich kann den Ordner löschen?!?

Gruppe-Daten Schreiben Allow (Dieser Ordner und Unterordner) (nicht geerbt)

Ich Dämel: soll natürlich heissen "Vollzugriff", nicht "Schreiben".



Das war mein erster Ansatz, klingt ja auch vollkommen logisch.
Habe nur "Lesen" auf "nur diesen Ordner" und "Vollzugriff" auf "Nur Unterordner". Funkt aber nicht.
Effekt dabei ist: Kein Bearbeiten im Unterordner möglich.
Sobald ich das Recht "Lesen" auf "Nur diesen Ordner" wegnehme, kann ich im Unterordner löschen und erstellen wie ich will.
Nebeneffekt ist: Ich kann den Hauptordner jetzt löschen.

Da arbeite ich doch schon die ganze Zeit

Aber hab schon verstanden. Man weiss ja nie

Also, wenn ich "Nur dieser Ordner" nehme und die Gruppe-Daten einmal mit speziellen Rechten ausstatte, dann bekomme ich es so hin (also Ordner selbst kann nicht gelöscht/geändert werden, Unterordner und Dateien können erstellt werden).

Allerdings gilt das dann nur für die nächste Ebene. Darunter hat man dann wieder nur Leserechte.

Ich hatte das nicht erwähnt, aber ich wollte das man ab diesem Ordner für alle Unter- und Unter-Unter-Ordner Vollzugriff erhält.
Ich wollte ausserdem ein Deny umgehen.

Das scheint mit einer Kombination aus
"Gruppe-Daten" -> vollzugriff auf Unterordner
"Gruppe-Daten -> spezielle Berchtigungen (ohne Löschen) auf nur diesen Ordner
zu funktionieren ohne das ich ein Deny benötige.

Die möglichen Kombinationen von Rechten und Containern auf den diese Rechte angewendet werden sind halt manchmal etwas verwirrend.
Beispiel: "Nur auf diesen Ordner" wende ich "Erstellen von Unterordnern" an.
In diesem Fall kann man einen Ordner erstellen, allerdings werden nur die Rechte weitergegeben die bereits vererbt wurden, oder die sich auf "Unterordner" beziehen.
Deswegen muss ich die Gruppe-Daten ein zweites mal hinzufügen, womit ich dann den Vollzugriff auf die Unterordner vererbe.

Das ganze schien also nur ein Fehler zu sein. Ist aber in wirklichkeit eine Verquickung von unterschiedlich vererbten Rechten aus 2 Ebenen von Ordnern gewesen.