Fileserver Zugriffsrechte - Verwaltung/Backup/Restore - Best Practice

[WarEagle 10]

Hallo Zusammen,

 

vor lauter anderen Aufgaben, habe ich ganz vergessen wie sehr ein Fileserver einem den Tag vermiesen kann. Vorallem wenn die File- und Rechtestruktur "historisch gewachsen" ist und man selber bei diesem Wachsen nicht dabei war.

Kurz gesagt: Es war früh. Ein paar Rechte hätten mal schnell korrigiert werden sollen. Der Kaffee hat noch nicht gewirkt. Jetzt sind mal einge weg. Und Doku gibts natürliche keine :mad: . Server-/Sharekonsolitierung ist zwar ein frommer Wunsch, aber noch nicht in Sicht.

 

Da man aus Fehlern lernen sollte bitte ich euch um eure Tipps und Unterstützung.

 

Wie verwaltet Ihr eure Rechte auf den Fileservern?

 

 

Das Backup hat mir zwar ein wenig weitergeholfen, aber wenn es viele GBs sind, kann ich kein Full Restore machen.

Ahja zu Dimension: 1 MS Cluster, 2 Nodes, einige TB und viele hundert User.

 

Danke im Voraus,

Oli

[WarEagle 10]

Einmal muss ich noch Fragen ;)

 

Ihr verwendet kein zusätzliches Tool zum verwalten von Fileserver, ausser die Standard Rechtevergabe auf Shares/Files/Folder und vielleicht AccessEnum oÄ?

[Daim 12]

Servus,

 

nein, ein zusätzliches Tool zum verwalten der Rechte verwende ich keins.

Du solltest auf alle Fälle die Benutzer in Gruppen zusammenfassen und in den Berechtigungen keine einzelnen Benutzer, sondern die Gruppen hinzufügen. DAs bedeutet, arbeite auf Berechtigungsebene ausschließlich mit Gruppen. Das erleichert dir in der Zukunft das tägliche Leben.

 

Daher solltest du das A - G - DL - P Prinzip anwenden.

 

Ich bin ein Freund davon, in der Freigabeberechtigung die Domänen-Benutzer mit Vollzugriff (bzw. Ändern) einzutragen (oder eben die gewünschte Gruppe auf das entsprechende Netzlaufwerk) und den tatsächlichen Zugriff, in den NTFS-Berechtigungen festzulegen.

 

Yusuf`s Directory - Blog - Gruppen

[WarEagle 10]

Hi,

 

danke für den Tipp, für alle zukünftigen Shares werde ich das mal versuchen so durchzusetzen.

 

Zwei Unklarheiten habe ich dann doch noch.

 

1. die Anzahl der Gruppen in der ein User drin ist.

In meiner letzen Firma hatten wir das Problem, das auf Grund der SID History & der Anzahl der Fileserver Gruppen die TokenSize zu groß wurde. Das möchte ich auf jeden Fall vermeiden. Weil die Änderung der TokenSize hat dann andere "Seiteneffekte" produziert.

 

2. Dokumentation, Change & Recovery

User können allerdings auch die Abteilung wechseln oder Abteilungsbezeichnungen können sich ändern. Oder Abteilungen werden zusammengelegt. Was zu Folge hat das jede Menge Gruppen mit falschem Namen herumgeistern. User in Gruppen sind, in die sie nicht mehr gehören . Oder einfach irgendwelche "Leichen" sonstwo herumschwirren.

Dokumentation (Wer, Wo Warum) ist ja was feines, nur wenn die Doku länger dauert als das Umsetzen, machts keiner. Gibts hier keine Software die das Unterstützt? Was habt ihr denn damit für Erfahrungen? Mit einem neuen Rechtekonzept läßt sich das sicher verbessern. Aber ohne Aufzeichnungen ist es unmöglich nachzuvollziehen wer wo Rechte hatte wenn die Struktur sehr verschachtelt ist. Auf die Backupsoftware allein möchte ich mich nicht verlassen.

 

LG

Oli

[giffy 10]

OK Die Zugriffstreuerung erfolgt über die Zurordnung der Globalen Gruppen zu den Domain Lokalen Gruppen. Hierbei wäre eine Möglichkeit wie folgt vorzugehen. Steuerung des Zugriffs auf ein Verzeichnis über 2 DL Gruppen

 

Angenommen Verzeichnis Finanzbuchhaltung

 

2 Globale Gruppen

G_Leitung-Fibu

G_Mitarbeiter-Fibu

 

1 Verzeichnis Fibu

DL_FIBU_rwxd (NTFS Berechtigungen)

DL_FIBU_rx

Diese DL Gruppen ordnest du dem Verzeichnis Fibu (ggf. ist die Empfehlung die Vererbung zu durchbrechen und alle Gruppen zu entfernen AUßER SYSTEM lokale Admins).

 

Ich bin jetzt schon 1,5 Jahre dabei die NTFS-Strukur anzupassen. Ha´be noch 4 Abteilungen vor mir. Ich sehe langsam nen licht am Ende des Tunnels. Es ist kein entgegenkommender LKW ;-) Ende März 08 bin ich durch.

 

Ich frage eigentlich immer die Arbeitsabläufe ab in den Abteilungen damit sich der Workflow auch in der Verzeichnistruktur wiederfindet.

Auch in der Nameensgebung der Gruppen versuch ich eigentlich selbsterklärende Bezeichnungen zu finden.

 

Die Doku wird gleich beim Einrichten der Verzeichnisse geschrieben. Teile aus der Doku sind so geschrieben, dass die Mitarbeiter ein Zusammenfassung für Ihre Arbeitsumgebung erhalten. ggf wird angepasst wenn sich Arbeitsabläufe ändern.

[WarEagle 10]

hmm, ok meine Hoffnungen das Ganze schnell über die Bühne zu bringen schwinden jetzt wirklich ;)

 

Für Abteilungen sehe da noch eine Möglichkeit. Wenns um Projekte geht in die mehrere Teams eingebunden sind, wird mir schwindlig.