sarekhl
Goto Top

Berechtigungskonzept in Linux

Hallo zusammen,

ich habe noch mal eine Frage zum Berechtigungskonzept in Linux. Man kann ja pro Datei oder Verzeichnis nur genau eine Besitzerberechtigung, genau eine Gruppenberechtigung und eine Berechtigung für "alle anderen" einstellen. Wie löse ich damit folgende Konstellationen, die mit Windows ACLs kein Problem wären:


Fall 1:

Auf das Verzeichnis Seelsorge sollen die Gruppen Pfarrer und Pastorale Mitarbeiter Schreibzugriff bekommen, die anderen Gruppen bzw. alle Benutzer, die nicht in den beiden Gruppen sind, haben keinen Zugriff.


Fall 2:

Auf das Verzeichnis Finanzen soll die Gruppe Kirchenvorstand und die Rendantin (ein Benutzer) Schreibzugriff bekommen, die Gruppe Pfarrer Lesezugriff und die anderen Gruppen bzw. alle Benutzer, die nicht in den genannten Gruppen sind, haben keinen Zugriff.


Danke im Voraus,
Sarek \\//_

Content-Key: 304549

Url: https://administrator.de/contentid/304549

Printed on: April 24, 2024 at 14:04 o'clock

Member: Kraemer
Kraemer May 14, 2016 at 17:33:20 (UTC)
Goto Top
Moin,

im Prinzip löst du das Ganze genau so, wie man es unter Windows machen würde: Gruppen anlegen und dann die entsprechenden Berechtigungen setzen.

Gruß
Member: SarekHL
SarekHL May 14, 2016 at 17:42:33 (UTC)
Goto Top
Zitat von @Kraemer:

im Prinzip löst du das Ganze genau so, wie man es unter Windows machen würde: Gruppen anlegen und dann die entsprechenden Berechtigungen setzen.

In Windows ist es kein Problem, da kann ich für ein Verzeichnis beliebig viele Gruppen angeben und für jede Gruppe eine eigene Berechtigungsstufe ... und das auch noch viel feiner gestaffelt.

Gut, für den oben geschildeten Fall 1 könnte man es noch hinbekommen, indem man eine Gruppe Seelsorge anlegt, die zur Eigentümergruppe macht und ihr die Berechtigungen r, w und x gibt. Ist zwar blöd, eine extra Gruppe nur für die Verzeichnisberechtigung anlegen zu müssen, aber sei es drum.

Aber was mache ich für Fall 2? Da brauche ich für eine Gruppe die Berechtigung zu Schreiben, für eine Gruppe die Berechtigung zu lesen und alle anderen dürfen gar nichts. Ich habe keinen blassen Schimmer, wie ich das mit dem dreiteiligen System von Linux abbilden könnte ...
Member: keine-ahnung
keine-ahnung May 14, 2016 at 17:42:49 (UTC)
Goto Top
Moin,

kleiner Tipp ... ist sogar in Deutsch face-wink!

LG, Thomas
Member: SarekHL
SarekHL May 14, 2016 at 18:02:23 (UTC)
Goto Top
Zitat von @keine-ahnung:

kleiner Tipp ... ist sogar in Deutsch face-wink!

Schön ... hilft mir aber jetzt nicht weiter. Zudem habe ich mir schon einige Sachen via Google angeschaut, eines nannte sich sogar auch "Praxisbuch". Da wird das Konzept technisch gut beschrieben, aber wie man damit etwas komplexere Berechtigungskonstrukte (bzw. so komplex sind sie eigentlich gar nicht) umsetzt, steht da nicht.
Member: Kraemer
Kraemer May 14, 2016 at 18:07:54 (UTC)
Goto Top
Sorry, ich hatte dein zweites Beispiel nicht genau genug gelesen. Sowas lässt sich standardmäßig nur mit verschiedenen Verzeichnissen und entsprechenden Gruppen / Rechten lösen.
Nun gibt es unter Linux auch die Möglichkeit das ganze per ACL abzubilden. Funktioniert an sich - kann aber zu Problemen mit bestimmten Shell-Programmen führen. Hier mal der entsprechende Artikel von Ubuntu: ACL

Gruß Krämer
Member: SarekHL
SarekHL May 14, 2016 at 18:17:23 (UTC)
Goto Top
Zitat von @Kraemer:

Sorry, ich hatte dein zweites Beispiel nicht genau genug gelesen.

Ich hatte auch etwas überlesen. Im UCS-Handbuch heißt es (etwas versteckt):

Mit Access Control Lists sind noch mächtigere Berechtigungsmodelle möglich. Die Konfiguration von ACLs
ist in SDB 1042 1 beschrieben.


Es scheint also zu gehen, wenn auch nicht über die GUI face-confused-alt


Sowas lässt sich standardmäßig nur mit verschiedenen Verzeichnissen und entsprechenden Gruppen / Rechten lösen.

Verschiedene Verzeichnisse wären ja im Fall 2 sinnlos, es geht ja jeweils um die gleichen Daten.


Nun gibt es unter Linux auch die Möglichkeit das ganze per ACL abzubilden.

Das ist wohl das, was ich jetzt auch im UCS-Handbuch entdeckt habe. Ich glaube, ich habe eine arbeitsreiche Nacht vor mir, wenn ich das verstehen will face-sad
Member: keine-ahnung
keine-ahnung May 14, 2016 at 18:24:44 (UTC)
Goto Top
Schön ... hilft mir aber jetzt nicht weiter.
Bei uns haben die grossen Buchläden bis 22:00 Uhr offen ... face-smile. Legal als ebook scheint es das aber wirklich nicht zu geben.
Ich glaube, ich habe eine arbeitsreiche Nacht vor mir, wenn ich das verstehen will
Einfach nebenbei ESC guggen ... das bläst einem das Gehirn wieder frei face-smile. Ist eigentlich auch eine schicke Abkürzung - ich such dann mal dafür die ESC-Taste auf der Fernbedienung meines TV.

LG, Thomas
Member: Kraemer
Kraemer May 14, 2016 at 18:25:35 (UTC)
Goto Top
Darf ich fragen, welche Beweggründe hinter deiner Entscheidung stehen, dich mit dem UCS zu beschäftigen?
Member: SarekHL
SarekHL May 14, 2016 at 18:42:19 (UTC)
Goto Top
Zitat von @Kraemer:

Darf ich fragen, welche Beweggründe hinter deiner Entscheidung stehen, dich mit dem UCS zu beschäftigen?

Schau mal in diesen Thread face-smile
Member: Kraemer
Kraemer May 14, 2016 at 19:03:50 (UTC)
Goto Top
Ich will nun nicht deine Fähigkeiten in Frage stellen, aber:
Nutze das Wochenende anders! Der UCS verspricht weit mehr, wie er halten kann. Ich habe in einem Testprojekt über 200 Stunden Arbeit in den UCS investiert. Wehe bei dem Ding geht irgendwas schief. Dann kommst du ohne den Support nur ganz schwer weiter. Die Community rund um das Teil ist nicht besonders groß.
Ich habe das Projekt UCS abgebrochen und mir eine Lösung auf einem Ubuntu LTS aufgesetzt. Lief stabiler und lies sich schneller Umsetzen. Nun muss ich aber dazu sagen, das ich mich recht gut mit "Linux" auskenne.
Wenn du keine andere Lösung findest würde ich zu einer Qnap greifen - obwohl das so auch nicht stimmt. Ich pers. würde eine Qnap nur im privaten Umfeld als AD-Server laufen lassen.

Folgendes soll nicht respektlos sein - ich berate so auch Firmen: Wenn kein Geld für Server mit passendem Betriebssystem vorhanden ist, dann sollte man sich meiner Meinung nach keine Gedanken über alternativen machen, sonder darüber nachdenken, den Laden zu schließen.

Gruß Krämer
Member: SarekHL
SarekHL May 14, 2016 at 19:13:00 (UTC)
Goto Top
So, ich komme gerade nicht weiter, nicht mal mit den "normalen" Linux-Berechtigungen face-sad

Gegeben ist ein Domänenbenutzer h.wurst. Dieser ist Mitglied der Gruppe Gemeinde:
user_in_gruppe

Gegeben ist weiterhin eine Freigabe namens Testdata. Als Besitzergruppe für das Wurzelverzeichnis der Freigabe ist Gemeinde angegeben, und die Besitzergruppe hat die Berechtigung rwx:
dateisystemrechte

Für dei Freigabe ist die Gruppe Gemeinde sowohl generell als "gültige Gruppe" als auch als "Schreibberechtigt" eingetragen:
freigaberechte

Wenn sich h.wurst nun an einem Windows-Client, der Mitglied der UCS-Domäne ist, anmeldet, kann er nicht auf die Freigabe TestData zugreifen.

Trage ich bei den Freigaberechten statt der Gruppe Gemeinde direkt den User h.wurst ein, klappt der Zugriff.

Warum funktioniert die Gruppe nicht?
Member: SarekHL
SarekHL May 14, 2016 updated at 19:19:29 (UTC)
Goto Top
Zitat von @Kraemer:

Folgendes soll nicht respektlos sein - ich berate so auch Firmen: Wenn kein Geld für Server mit passendem Betriebssystem vorhanden ist, dann sollte man sich meiner Meinung nach keine Gedanken über alternativen machen, sonder darüber nachdenken, den Laden zu schließen.

Das mag bei Firmen unter Umständen stimmen. Aber wenn Du den Thread komplett gelesen hast, weißt Du, dass ich kleine Vereine und kirchliche Einrichtungen betreue. Die haben generell wenig Geld. Und seit Microsoft für Kirchengemeinden auch noch die Bezugsberechtigung günstiger Academic-Lizenzen gestrichen hat, ist ein Windows-Server für viele Gemeinden kaum noch zu finanzieren. Und wo eine Firma die IT-Kosten noch in ihre Dienstleistungen oder Waren einpreisen kann, geht das eben bei einer Kirchengemeinde, die ja nichts verkauft, nicht.
Member: Kraemer
Kraemer May 14, 2016 updated at 19:40:18 (UTC)
Goto Top
Zitat von @SarekHL:
kleine Vereine
Und die brauchen einen AD-Server? Und selbst wenn ja: Wenn der Verein was taugt ist dafür Ratz-Fatz das Geld in Form von Spenden besorgt.

und kirchliche Einrichtungen
Die kann man in meinen Augen mit Firmen gleich setzen

Und wo eine Firma die IT-Kosten noch in ihre Dienstleistungen oder Waren einpreisen kann, geht das eben bei einer Kirchengemeinde, die ja nichts verkauft, nicht.
Wie kommst du darauf, das eine Kirche keine Dienstleistungen verkauft? Der Unterschied ist nur, das kein Preisschild an den Dienstleistungen direkt hängt.
Member: SarekHL
SarekHL May 14, 2016 updated at 19:45:45 (UTC)
Goto Top
Zitat von @Kraemer:

und kirchliche Einrichtungen
Die kann man in meinen Augen mit Firmen gleich setzen

Wie kommst du darauf, das eine Kirche keine Dienstleistungen verkauft? Der Unterschied ist nur, das kein Preisschild an den Dienstleistungen direkt hängt.

Dann, auch das soll nicht respektlos sein, hast Du keine Ahnung ... ich sitze im Pfarrgemeinderat und im Kirchenvorstand meiner Pfarrei, ich weiß wovon ich rede.
Member: Kraemer
Kraemer May 14, 2016 updated at 19:50:14 (UTC)
Goto Top
Dann, auch das soll nicht respektlos sein, hast Du keine Ahnung ...
Ich habe Jahre lang Kirchengemeinden mit EDV beliefert...

Und in meinen Augen ist eine Kirche nichts anderes wie ein eingerichteter Wirtschaftsbetrieb. Nur weil das Prinzip der Einnahmen und Dienstleistungen ein wenig verwässert ist und anders genannt wird, sehe ich da keine Grundsätzlichen Unterschiede.
Und wenn einer Gemeinde die Einnahmen wegbrechen, weil die Anhänger fehlen, dann muss auch eine Kirchengemeinde den Laden dicht machen - genau so wie der Bäcker, dessen Brötchen keiner haben will.

PS: Lass uns das Thema beenden - das hilft dir bei deinem Problem nicht weiter - und einig werden wir uns nicht face-smile

Zu deinem Screenshot: Bei der Freigabe: Ich kann mich nciht mehr genau erinnern: Konnte man da links nicht auf das Samba klicken und dann auf der rechten seite weitere Einstellungen setzen?
Member: SarekHL
SarekHL May 14, 2016 at 19:51:53 (UTC)
Goto Top
Zitat von @Kraemer:

Und wenn einer Gemeinde die Einnahmen wegbrechen, weil die Anhänger fehlen, dann muss auch eine Kirchengemeinde den Laden dicht machen - genau so wie der Bäcker, dessen Brötchen keiner haben will.

Hätten die Apostel damals so gehandelt, wäre nie eine Kirche entstanden.
Member: keine-ahnung
keine-ahnung May 14, 2016 at 19:56:02 (UTC)
Goto Top
hast Du keine Ahnung
Es wurde nach mir gerufen?

Sorry, seit Du mir hier das erste Mal auf der Plattform über den Weg gelaufen bist stellst Du nur Fragen, die eigentlich ein Erstsemestler beantworten können müsste. Würde jetzt per se nicht stören, aber Du vertickst das dann als Dienstleistung bei Deinen Jesusjüngern et al. Als ich 2007 meine Praxis aufgemacht habe, konnte ich auch nur PC zusammenschrauben und war halbwegs fit mit Windows XP. Ich habe mich dann trotzdem entschieden, irgendwie eine AD aufzubauen ... und musste dafür mehr als einige Nächte lesen, rumschrauben und -basteln. Du wirst Dir einfach mal vor Augen halten müssen das, wenn man schon Halbwissen gegen Geld auf den Markt wirft, zumindest einige basics angelesen und angelernt werden müssen. Das board hier wie auch das jacotec-board ist nicht dazu da, Dein Geld zu verdienen. Wir leben hier in einer sog. Wissensgesellschaft ... das impliziert irgendwie Wissen. Und das ist mitunter mühevoll zu erwerben. Also mach erst einmal Deinen Teil und frage dann nach Details, die Dir unklar geblieben sind - damit hat vermutlich Niemand Probleme.

Trotzdem LG, Thomas
Member: SarekHL
SarekHL May 14, 2016 at 19:57:07 (UTC)
Goto Top
Zitat von @Kraemer:

Zu deinem Screenshot: Bei der Freigabe: Ich kann mich nciht mehr genau erinnern: Konnte man da links nicht auf das Samba klicken und dann auf der rechten seite weitere Einstellungen setzen?

Ja, ich habe einen Screenshot der "erweiterten Samba-Rechte" ja in meinem zwischenzeitlichen geschlossenen ersten Thread zu dem Thema gepostet. Aber das ist für mich das berühmte Buch mit sieben Siegeln.
Member: Kraemer
Kraemer May 14, 2016 at 19:57:11 (UTC)
Goto Top
PS: In dem anderen Thread wurden die Essentials/ Foundation vorgeschlagen. Darauf bist du nicht eingegangen. Mit beginnend bei ca. 200€ ließe sich ein Windows kaufe - 15 / 25 Benutzer sollten reichen oder?
Member: SarekHL
SarekHL May 14, 2016 at 20:08:01 (UTC)
Goto Top
Zitat von @Kraemer:

PS: In dem anderen Thread wurden die Essentials/ Foundation vorgeschlagen. Darauf bist du nicht eingegangen. Mit beginnend bei ca. 200€ ließe sich ein Windows kaufe - 15 / 25 Benutzer sollten reichen oder?

Wenn, dann käme höchtens der Foundation in Frage, denn der Essentials ist, wenn ich es richtig gelesen habe, eher für die Zusammenarbeit mit Clouddiensten optimiert. Der Foundation kann maximal 15 User. Die sind schnell erreicht (wenn ich z.B. daran denke, dass auch mein Kopierer einen eigenen Benutzer hat, damit der Scanner auf den Server speichern kann). Und so billig ist der Foundation dann offenbar auch nicht (neu, seriöser Händler).

Außerdem war mir - gerade für kleine Einrichtungen - der Gedanke eines sehr kleinen Servers (ich dachte bei dem UCS ja ein ein NUC-System) sehr sympathisch.
Member: SarekHL
SarekHL May 14, 2016, updated at May 15, 2016 at 06:35:06 (UTC)
Goto Top
Zitat von @keine-ahnung:

Würde jetzt per se nicht stören, aber Du vertickst das dann als Dienstleistung bei Deinen Jesusjüngern et al.

Thomas, Du hebst immer auf das Thema Geld verdienen ab. Weißt Du, zu welchen Konditionen ich das mache? Erst mal läuft die ganze Selbständigkeit bei mir neben meinem normalen Job. Und dann mache ich das recht günstig. Wenn ich alles mit reinrechne, auch die Recherche und so weiter, dann komme ich auf höchstens fünf Euro (vor Steuer!) pro Stunde, die ich der Gemeinde am Ende tatsächlich in Rechnung stelle. Das ist mehr eine Aufwandsentschädigung als ein Profit. Ja, das mag wirtschaftlich unvernünftig sein, aber ich mache das eben nicht, um reich zu werden, sondern zu 90% aus Idealismus. Das Wort sollte Dir als Arzt hoffentlich auch was sagen - jedenfalls bin ich der Meinung, dass ein guter Arzt nur der Arzt sein kann, der den Beruf auch aus philanthropischen Gründen gewählt hat und nicht nur, weil man damit gutes Geld verdienen kann.
Member: Kraemer
Kraemer May 14, 2016 at 20:23:40 (UTC)
Goto Top
Du bekommst bei Thomas Krenn nen ganzen Server inkl. OS für unter 550€. Und dann willst du noch selber basteln?
Member: Lochkartenstanzer
Lochkartenstanzer May 15, 2016 updated at 05:22:50 (UTC)
Goto Top
Zitat von @SarekHL:

... Wie löse ich damit folgende Konstellationen, die mit Windows ACLs kein Problem wären:


Auch mit acls, wie die Kollegen schon gesagt haben.


Allerdings habe ich UCS eine Weile nicht mehr in den Fingern gehabt, s daß ich nicht mehr weiß, ob man das manuell machen muß, oder ob UCS das auch anbietet.


Jedoch bietet Samba Möglichkeiten, die ACL mit Windows-Tools zu bearbeite.

lks
Member: SarekHL
SarekHL May 15, 2016 at 05:51:41 (UTC)
Goto Top
Zitat von @Lochkartenstanzer:

... Wie löse ich damit folgende Konstellationen, die mit Windows ACLs kein Problem wären:
Auch mit acls, wie die Kollegen schon gesagt haben.

Das hatte ich ja inzwischen auch schon im Handbuch entdeckt.


Allerdings habe ich UCS eine Weile nicht mehr in den Fingern gehabt, s daß ich nicht mehr weiß, ob man das manuell machen muß, oder ob UCS das auch anbietet.

Es soll wohl über Windows gehen. Sprich, wenn man auf einem Windows-Domänenclient angemeldet ist und die nötigen Rechte hat, sollte man über den ganz normalen Windows-Dialog die ACLs bearbeiten können.

Aber momentan stocke ich ja an einer viel grundsätzlicheren Stelle (siehe mein Beitrag von 21:13 Uhr mit den drei Screenshots) ...
Member: SarekHL
SarekHL May 15, 2016 updated at 06:38:55 (UTC)
Goto Top
Zitat von @Kraemer:

Du bekommst bei Thomas Krenn nen ganzen Server inkl. OS für unter 550€.

Aber nur, wenn ich einen Celeron nehme (ist ein 4-Kern-Celeron besser als ein 2-Kern-Pentium?) und mich auf 2GB RAM beschränke.

Mit 8GB RAM bin ich (auf Basis eines Microserver MI106, denn ich will ja was kompaktes) schon bei knapp 600 Euro. Und da die Krenn-Seite sich an Unternehmen wendet, gehe ich mal davon aus, dass das ein Netto-Preis ist, also sind wir schon bei über 700 Euro.


Und dann willst du noch selber basteln?

Ja face-smile Ob ich UCS mal einer Gemeinde hinstelle, steht auf einem anderen Blatt. Aber ausprobieren will ich das auf jeden Fall mal.
Mitglied: 122842
Solution 122842 May 17, 2016 at 10:55:49 (UTC)
Goto Top
Hallo,
wir von Univention haben von der Diskussion mitbekommen und würden gern den Sachverhalt klären. Also, Berechtigungen/ACLs können grundsätzlich als Domänenadmin auch von Windows Seite bearbeitet werden. Das funktioniert genau wie das
Bearbeiten von Sicherheitseinstellungen bei Freigaben auf einem Windowsserver. Wichtig ist hierbei, eine Samba Freigabe anzulegen und die beiden Standardhaken (Freigabe anzeigen, etc.) gesetzt zu lassen. Also:

1. UCS: Berechtigungen
2. Besitzer/Gruppe des Wurzelverzeichnisses auf den Domänenadmin setzen
3. Samba Freigabe: Name (kurz prägnant), die beiden Standardhaken setzen und gesetzt lassen
4. unter erweiterten Einstellungen die Samba und erweiterten Samba Rechte ignorieren (prüfen, ob unter "Samba-Rechte" der Haken bei "NT ACL Support" gesetzt ist)
5. Windowsrechner starten, in Domäne joinen oder an Domänenrechner mit Domänenadmin anmelden
6. Per Netzwerk zur Freigabe navigieren - rechte Maustaste - Berechtigungen und Sicherheitseinstellungen ändern

Das müsste eine grundlegende Funktionalität der Berechtigung bereitstellen - alles weitere würde darauf aufbauen. Bei weiteren Fragen steht das Univention Forum zur Verfügung.
Member: SarekHL
SarekHL May 17, 2016 at 11:17:52 (UTC)
Goto Top
HI ... schön, dass Univention sich dazu äußert!

Zitat von @122842:

Bearbeiten von Sicherheitseinstellungen bei Freigaben auf einem Windowsserver. Wichtig ist hierbei, eine Samba Freigabe anzulegen und die beiden Standardhaken (Freigabe anzeigen, etc.) gesetzt zu lassen.

Das habe ich ja getan, und es klappt nicht. Weiter oben habe ich einen Betrag mit drei Screenshots. Den gleichen Beitrag habe ich inzwischen auch ins Univention-Forum gepostet. Vielleicht könntet Ihr / könnten Sie da ja mal ganz konkret aufzeigen, wo der Fehler liegt.


Danke im Voraus,
Sarek \\//_
Mitglied: 122842
Solution 122842 May 17, 2016 at 13:10:13 (UTC)
Goto Top
Hallo, da du dein Anliegen bereits im Univention Forum gepostet hast, möchten wir die Diskussion gern dort in aller Ruhe weiterführen. Zu deiner Anfrage wirst du in Kürze ein Feedback bekommen
Generell versuchen wir, Forum-Anfragen möglichst zeitnah zu beanworten, es kann aber je nach Aufkommen auch schon mal einen Tag oder etwas länger dauern. Für alle, die diesen Post weiterverfolgen möchten, hier der Link zu dieser Fragestellung im Univention Forum.
Mitglied: 122842
122842 May 17, 2016 at 13:24:13 (UTC)
Goto Top
Zitat von @Kraemer:

Ich will nun nicht deine Fähigkeiten in Frage stellen, aber:
Nutze das Wochenende anders! Der UCS verspricht weit mehr, wie er halten kann. Ich habe in einem Testprojekt über 200 Stunden Arbeit in den UCS investiert. Wehe bei dem Ding geht irgendwas schief. Dann kommst du ohne den Support nur ganz schwer weiter. Die Community rund um das Teil ist nicht besonders groß.

Hallo Kraemer,
es ist schade, dass du den Eindruck gewonnen hattest, unsere Community sei nicht besonders groß und wir würden mehr versprechen als wir halten. Unser Forum ist in der Tat sehr lebhaft und wir legen viel Wert drauf, Useranfragen ausführlich und zufriedenstellend zu beantworten. Deshalb möchten wir dich bei dieser Gelegenheit kurz dazu einladen, unseren Community Support bei Bedarf noch einmal zu nutzen. Bei Problemen sind wir über persönliches Feedback übrigens immer sehr dankbar.
Member: Kraemer
Kraemer May 17, 2016 at 13:37:38 (UTC)
Goto Top
Zitat von @122842:
es ist schade, dass du den Eindruck gewonnen hattest, unsere Community sei nicht besonders groß
Momentaufnahme von just gerade eben:

WHO IS ONLINE 
Users browsing this forum: Bing [Bot], Google [Bot], Yahoo [Bot] and 5 guests

Ja, den Eindruck habe ich - nicht nur deswegen.

Gruß Krämer