Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit
GELÖST

Allgemeine Frage zu Freigaben und Rechten in einem AD

Frage Microsoft

Mitglied: SamTrex

SamTrex (Level 1) - Jetzt verbinden

13.10.2009 um 13:32 Uhr, 3755 Aufrufe, 6 Kommentare

Sicherheiten bei Netzwerkfreigaben einstellen per Freigaberechte oder per Sicherheitsrechte?

Hallo Gemeinde,
wie oben geschrieben interessiert mich der Punkt der "richtigen" Freigabemöglichkeit.

Zur Zeit halte ich es so, das ich Freigaben auf dem Server (W2k3 SBS) mit in den Freigabeoptionen mit Vollzugriff laufen habe.
Alle User des AD haben das Recht "Auflisten".
Für die jeweiligen Gruppen stelle ich alles über die Sicherheitsrechte ein.
Ist jemand dem AD nicht bekannt sieht er gar nichts.

Das ist für mich die logischste Lösung, da ich in Freigaben nicht wirklich detailiert einstellen kann....

Wie seht ihr das? Wie macht ihr es bei euren Netzen?

Danke im Voraus!

Gruß Sam
Mitglied: CarstenKoepp
13.10.2009 um 14:07 Uhr
Hallo Sam,
du kannst mit eine Freigabe sehr genau die NTFS Rechte vergeben. Was machst du zb. wenn dein Chef einen Ordner haben möchte, der nur für ihn und der PA zugänglich sein soll?

Hier bietet es sich an, die User in OU (Organisationseinheiten/Benutzergruppen) aufzuteilen, wo du nun ganz genau bestimmte Rechte vergeben kannst.
Wie du siehst ist das ein wirklich sehr komplexes Thema und würde dir empfehlen in div Büchern mal nachzulesen.
Für den Anfang kannst du ja mal hier nach schauen.

Besten Gruß
Carsten
Bitte warten ..
Mitglied: SamTrex
13.10.2009 um 14:33 Uhr
Hallo Carsten,
danke für die schnelle Antwort.

Zu deiner Frage:
Da ich z.B.: \\Server\Archiv\ als Freigabe - Vollzugriff - Gruppe alle MA; NTFS - Auflisten - Gruppe alle MA habe würde ich folgendes tun.

Die PA ist für mich eine Sicherheitsgruppe im AD. Der Chef ist auch in einer Sicherheitsgruppe (Von mir aus Chefetage)
Nun würde ich die NTFS Rechte für die Sicherheitsgruppe PA im entsprechnenden Ordner anpassen (z.B. ändern) und seperat für den Chef. bzw. dem Chef noch eine Spezielle SG und den Ordner für diesen dann anpassen.
Wenn der Chef dann noch will das der Ordner nicht mal aufgelistet werden darf würde ich noch eine SG einrichten in der alle Nicht PA Gruppen sind, und explizit verweigern.

In einer Freigabe habe ich doch nur die Möglichkeit
lesen - ändern - vollzugriff

Den Rest mache ich doch grundsätzlich über die NTFS Rechte.... Nichtoder?!
So habe ich das oben auf jeden Fall gemeind.

Gruß Sam
Bitte warten ..
Mitglied: dog
13.10.2009 um 14:43 Uhr
Grundstruktur mache ich immer so:

- Auf dem Server nur eine einzige Freigabe (\\server\share$) - die wiederum wird per DFS veröffentlicht (\\domain\share)
- Freigabeberechtigung: Jeder: Lesen, Ändern (Niemals Vollzugriff - Wichtig!)
- Sicherheitsberechtigung: Alles raus außer SYSTEM und Domänen-Administratoren

Danach fange ich da drin an die Ordner aufzubauen und zwar immer so, dass ich das Attribut "Verweigern" niemals benutzen muss.

Grüße

Max
Bitte warten ..
Mitglied: SamTrex
13.10.2009 um 14:59 Uhr
Hallo Max,
DFS sagt mir noch nichts, werde das gleich mal Googlen.
Worin besteht der Unterschied zwischen Ändern und Vollzugriff bei der Freigabe?

Wie würdest du denn die Aufgabe von Carsten lösen?

Angenommen ich habe folgendes:

- Freigabe
| - Für alle 1
| - Für alle 2
| - PA & Chef

Wenn das NTFS Recht im Root der Freigabe nur Admins/System zulässt sieht der Client ja gar nichts.
Daher die Auflisten Option.
Da ich das nicht auf dem Ordner Chef nicht setzen darf... Setzt du das dann für Für alle 1 und 2 seperat?

Oder würdest du die Ordner eher so aufbauen?

- Freigabe <Freigabe alle ändern
| - Für alle < NTFS Auflisten alle
| - Für alle 1 < geerbt
| - Für alle 2 < geerbt
| - PA & Chef < NTFS nur PA & Chef


Gruß Sam
Bitte warten ..
Mitglied: dog
13.10.2009 um 15:10 Uhr
DFS sagt mir noch nichts

Das erspart dir nur eine Menge ärger falls sich mal irgendwann der Name eines Fileservers ändert

Ändern und Vollzugriff bei der Freigabe?

Bei Vollzugriff können dir die User auf dem Kopf rumtanzen, obwohl es in den NTFS-Berechtigungen nicht so aussieht.
Da kann man stundenlang Suchen wieso das Sicherheitskonzept nicht klappt...

sieht der Client ja gar nichts.

Stimmt, das ist aus meiner Sicht auch gut so.
Bei dem Beispiel von Carsten würde ich für Chef & PA einfach ein Netzlaufwerk verbinden (Die Struktur wäre ähnlich der in deinem zweiten Ansatz).

Es gibt aber auch noch einen anderen Trick:
Dazu brauchst du folgende Struktur:

\\domain\share\common\Nur Für Cheffe

Den common Ordner verbindest du bei allen Mitarbeitern als Netzlaufwerk.
Jetzt gehst du bei den NTFS-Rechten über Erweitert, fügst "Alle Authentifizierten Benutzer" hinzu und wählst bei "Übernehmen für": "Nur diesen Ordner", dann hakst du alles an was ein "lesen" enthält.

Jetzt nimmst du dir den Ordner "Nur Für Cheffe" und fügst dort Lesen, Ändern Rechte für die Gruppe mit Chef und PA hinzu.

Damit das ganze jetzt funktioniert musst du zum Schluss noch ABE auf dem Server installieren:

http://www.microsoft.com/downloads/details.aspx?FamilyID=04A563D9-78D9- ...

Somit können alle Mitarbeiter den Ordner Common auflisten (und ggf. auf Unterordner zugreifen), aber den Chef Ordner sehen sie erst garnicht.

Grüße

Max
Bitte warten ..
Mitglied: SamTrex
13.10.2009 um 15:23 Uhr
Hallo Max,
das ist doch mal eine Aussage
Ich denke ich werde mir mal die Freigaben ansehen - in Bezug auf Vollzugriff / Ändern.

Vielen Dank für die Infos!
Werde mich nun mal mit DFS und ABE beschäftigen....

Gruß Sam
Bitte warten ..
Ähnliche Inhalte
Samba
Samba AD V 4.3.11-Ubuntu (Frage zu Best-Practice) (6)

Frage von Belephor zum Thema Samba ...

Windows Server
Zugriffsprobleme von neuen AD Benutzern auf Freigaben und Richtlinen (2)

Frage von Morilec469 zum Thema Windows Server ...

Windows Server
Verständnis Frage zum adprep für einen ersatz DC (1)

Frage von WinLiCLI zum Thema Windows Server ...

Neue Wissensbeiträge
Peripheriegeräte

Was beachten bei der Wahl einer USV Anlage im Serverschrank

(2)

Tipp von zetboxit zum Thema Peripheriegeräte ...

Windows 10

Das Windows 10 Creators Update ist auf dem Weg

(5)

Anleitung von BassFishFox zum Thema Windows 10 ...

Administrator.de Feedback

Tipp: Ungelöste Fragen ohne Antwort in Tickeransicht farblich hinterlegen

Tipp von pattern zum Thema Administrator.de Feedback ...

Viren und Trojaner

Neue Magazin Ausgabe: Malware und Angriffe abwehren

Information von Frank zum Thema Viren und Trojaner ...

Heiß diskutierte Inhalte
Windows Systemdateien
Warum System auf "C:" (29)

Frage von DzumoPRO zum Thema Windows Systemdateien ...

Windows Server
gelöst Update BackupExec 2015 auf 2016 führt zu SQL-Server Problem (16)

Frage von montylein1981 zum Thema Windows Server ...

Cloud-Dienste
gelöst Bitcoins minen über Nacht? (16)

Frage von 1410640014 zum Thema Cloud-Dienste ...

LAN, WAN, Wireless
Cisco SG200: Auf bestimmtem vLAN bestimmte TCP-Ports sperren (16)

Frage von SarekHL zum Thema LAN, WAN, Wireless ...