Lokaler Admin darf auf DC zu viel, finde Rechte-Ursache nicht

[perren 10]

Hallo,

 

wie kann das nur sein? Ich finde die Quelle einer Berechtigung nicht.

 

Server01: W2K8R2

- c:\homes\ mit Userverzeichnissen darunter

- c:\homes\ ist als "homes" freigegeben.

Gleich zu den ACLs: Die Vererbung aus c:\ wurde gestoppt und nicht dort hineingenommen. Ab c:\homes\ habe ich jetzt zu Testzwecken nur noch Domänen-Administratoren berechtigt und dies hineinvererbt. Domänen-Admins haben nur "CN=Administrator,CN=Users,DC=contoso,DC=com" als Member.

 

XP-Client:

- Anmeldung als lokaler Administrator -definitiv!

- \\server01\homes\ ->> der lokale Administrator kann da schalten und walten wie er will?! Er kann sogar alles löschen.

- Der lokale Administrator ist Mitglied der lokalen Gruppe "Administratoren" - mehr nicht.

 

Vielleicht kann mir jemand den richtigen Weg weisen :) Oder habe ich etwas nicht verstanden?

 

Danke,

 

Michael

[XP-Fan 220]

Hi,

 

haben der lokale Administrator auf dem PC und der Administrator der Domain selbiges Passwort ?

[perren 10]

Ja! Ist meine Testumgebung, wo alle dasselbe Passwort haben... Aber die User haben doch andere SIDs, das wäre ja irgendwie der Hammer. Oder?

EDIT: Auf jeden Fall löst Deine Frage das Problem, danke schon mal.

[NorbertFe 2.110]

Ja! Ist meine Testumgebung, wo alle dasselbe Passwort haben... Aber die User haben doch andere SIDs, das wäre ja irgendwie der Hammer. Oder?

 

Tja, das ist ja mal ne Erkenntnis. ;)

 

Bye

Norbert

[perren 10]

?!? Ich meine, es ist mir unverständlich, dass jemand mit anderer SID, also ein völlig anderer Nutzer, aber gleichem Passwort, auf dieselbe Ressource zugreifen kann. So doof kann Windows aber eigentlich nicht sein ;) Meine Vermutung ist aber, dass ich in dem Moment, wo ich alles auf dem Share machen durfte, in Wirklichkeit nicht als der lokale Administrator, sondern als der Domänenadmin unterwegs war. Also Windows intern den Administrator auf contoso\administrator ergänzt hat. Alles Vermutungen.

[NorbertFe 2.110]

Ach was? Wie realisierst du sowas denn in einer WOrkgroup? Wie lautet da der normale Workaround?

 

Bye

Norbert

[perren 10]

Mit Workgroups habe ich in der Beziehung keine Erfahrung... Deiner Anmerkung entnehme ich, dass Windows immer versucht, einen nicht eindeutigen Benutzernamen vorrangibg mit "ZIEL\Benutzername" zu ergänzen? (Mit Ziel=Workgroup oder Domainname). Danke...